MyBatis SelectProvider 可以通過使用參數化查詢來避免 SQL 注入。參數化查詢是在 SQL 語句中使用占位符來代替實際的參數值，然后將參數值通過參數對象傳遞給 SQL 語句，這樣可以避免直接拼接參數值到 SQL 語句中導致的 SQL 注入風險。
下面是一個使用 SelectProvider 的示例代碼：
@SelectProvider(type = UserSqlProvider.class, method = "getUserById")
User getUserById(@Param("id") Long id);
public class UserSqlProvider {
public String getUserById(Map<String, Object> parameters) {
Long id = (Long) parameters.get("id");
return "SELECT * FROM user WHERE id = #{id}";
}
}
在上面的示例中，我們將參數值 id 通過 @Param 注解傳遞給 SelectProvider 方法，并在 SQL 語句中使用 #{id} 占位符來代替實際的參數值。這樣可以確保參數值會被正確地轉義和處理，避免了 SQL 注入風險。
另外，建議在編寫 SelectProvider 方法時，對參數值進行適當的驗證和轉義，以確保參數值的安全性。同時，盡量避免直接拼接參數值到 SQL 語句中，以減少 SQL 注入的風險。
