MyBatis 使用预编译语句和参数化查询来防止 SQL 注入攻击。为了避免 SQL 注入，你应该在 MyBatis 的 SQL 语句中使用参数化查询，并确保不要将用户输入直接拼接到 SQL 语句中。
下面是一些避免 SQL 注入攻击的最佳实践：
使用参数化查询：在 MyBatis 中，你可以通过在 SQL 语句中使用占位符（比如 #{param}）来表示参数，然后将参数值参数传递给 SQL 语句。这样可以确保参数值不会被解释为 SQL 代码，从而避免 SQL 注入。
避免拼接用户输入到 SQL 语句中：永远不要将用户输入直接拼接到 SQL 语句中，这样很容易受到 SQL 注入攻击。如果需要动态拼接 SQL 语句，可以使用 MyBatis 的动态 SQL 功能来安全地构建动态 SQL。
使用 MyBatis 的参数化查询方法：MyBatis 提供了一些方法来执行参数化查询，比如 selectOne、selectList、update、insert 等。这些方法会自动将参数值安全地绑定到 SQL 语句中，确保不会受到 SQL 注入攻击。
总的来说，避免 SQL 注入攻击的关键是使用参数化查询，并避免将用户输入直接拼接到 SQL 语句中。通过采取这些最佳实践，你可以有效地保护你的 MyBatis 应用程序免受 SQL 注入攻击的威胁。