MyBatis中可以通过使用参数化查询来防止SQL注入攻击。参数化查询是将SQL语句中的变量用占位符代替，然后将变量值通过参数传入，而不是直接将变量值拼接到SQL语句中。
以下是一个简单示例：
@Select("SELECT * FROM users WHERE username=#{username} AND password=#{password}")
User getUser(@Param("username") String username, @Param("password") String password);
在这个例子中，#{username}和#{password}是占位符，实际的变量值将通过@Param注解传入。这样可以有效防止SQL注入攻击。
另外，MyBatis中还提供了sqlSessionFactory.getConfiguration().setSafeRowBoundsEnabled(true)方法，用于启用安全的分页查询，以防止恶意SQL注入攻击。同时，也要注意对用户输入进行验证和过滤，不要信任用户输入的内容。