MyBatis插入数据SQL注入防护

MyBatis 提供了一种简单的方法来防止 SQL 注入攻击，即使用参数化查询。参数化查询会将用户输入的数据作为参数传递给 SQL 查询语句，而不是直接拼接到 SQL 语句中。这样可以避免用户输入的恶意代码被执行。

以下是一个使用 MyBatis 参数化查询的例子：

Map<String, Object> params = new HashMap<>();
params.put("username", username);
params.put("password", password);

SqlSession sqlSession = sqlSessionFactory.openSession();
int rowsAffected = sqlSession.insert("UserMapper.insertUser", params);
sqlSession.commit();
sqlSession.close();

在上面的例子中，我们使用了一个 Map 对象来存储用户输入的参数，并将该 Map 对象作为参数传递给 SQL 查询语句。这样就可以确保用户输入的数据不会被当做 SQL 代码来执行。

另外，还可以使用 MyBatis 的动态 SQL 功能来进一步加强 SQL 注入的防护。通过使用 <if>、<choose>、<when> 等标签，可以根据不同的条件拼接不同的 SQL 片段，从而避免直接拼接用户输入的数据。

总的来说，要防止 SQL 注入攻击，建议使用参数化查询和动态 SQL 功能来构建安全的 SQL 查询语句。同时，还应该对用户输入数据进行验证和过滤，确保输入数据符合预期格式和长度，从而降低 SQL 注入的风险。