MyBatis ORM的SQL语句参数化

MyBatis 是一个优秀的持久层框架，它支持定制化 SQL、存储过程以及高级映射。MyBatis 避免了几乎所有的 JDBC 代码和手动设置参数以及获取结果集。MyBatis 可以使用简单的 XML 或注解来配置和映射原生信息，将接口和 Java 的 POJOs(Plain Old Java Objects, 普通的 Java 对象)映射成数据库中的记录。

在 MyBatis 中，你可以使用参数化 SQL 语句来避免 SQL 注入的风险。参数化 SQL 语句可以让你在 SQL 语句中使用占位符，然后在执行时动态地传入参数值。这样做的好处是可以避免字符串拼接导致的安全问题，同时也可以提高 SQL 语句的可读性和可维护性。

下面是一个 MyBatis 的参数化 SQL 语句示例：

1. 首先，在你的 mapper.xml 文件中定义一个参数化的 SQL 语句：

<select id="findUserById" parameterType="int" resultType="com.example.User">
  SELECT * FROM users WHERE id = #{id}
</select>

这里，#{id} 是一个占位符，它将在执行时被实际的参数值替换。

2. 然后，在你的 Mapper 接口中添加一个方法与上面的 SQL 语句对应：

public interface UserMapper {
  User findUserById(int id);
}

3. 最后，在你的业务逻辑代码中调用这个方法并传入参数：

UserMapper userMapper = sqlSession.getMapper(UserMapper.class);
User user = userMapper.findUserById(1);

这样，MyBatis 会自动处理参数的设置和获取，你不需要手动编写 JDBC 代码。这种方式可以提高代码的安全性和可维护性。