MyBatis的Mapper XML文件中可以使用动态SQL语句来防止SQL注入。以下是几种常见的防止SQL注入的方式：
使用#{}代替${}：在动态SQL语句中，应该尽量使用#{}来代替${}。#{}会将变量替换为占位符，然后使用预编译的方式将变量传递给数据库，可以有效防止SQL注入。而${}直接将变量的值替换到SQL语句中，不会进行预编译，存在安全风险。
使用动态标签：MyBatis提供了一些动态标签，如if、choose、foreach等，可以根据条件动态生成SQL语句。使用这些动态标签可以对输入参数进行条件判断，只执行符合条件的SQL语句，可以有效防止SQL注入。
使用参数类型处理器(TypeHandler)：MyBatis提供了参数类型处理器(TypeHandler)，可以对参数进行类型转换和处理。自定义参数类型处理器可以对参数进行特定的处理，如过滤特殊字符等，从而防止SQL注入。
需要注意的是，虽然MyBatis提供了一些方式来防止SQL注入，但仍然需要开发人员自行编写安全的SQL语句和逻辑代码，遵循最佳实践来保证系统的安全性。