MyBatis的Mapper XML文件中可以使用動態SQL語句來防止SQL注入。以下是幾種常見的防止SQL注入的方式：
使用#{}代替${}：在動態SQL語句中，應該盡量使用#{}來代替${}。#{}會將變量替換為占位符，然后使用預編譯的方式將變量傳遞給數據庫，可以有效防止SQL注入。而${}直接將變量的值替換到SQL語句中，不會進行預編譯，存在安全風險。
使用動態標簽：MyBatis提供了一些動態標簽，如if、choose、foreach等，可以根據條件動態生成SQL語句。使用這些動態標簽可以對輸入參數進行條件判斷，只執行符合條件的SQL語句，可以有效防止SQL注入。
使用參數類型處理器(TypeHandler)：MyBatis提供了參數類型處理器(TypeHandler)，可以對參數進行類型轉換和處理。自定義參數類型處理器可以對參數進行特定的處理，如過濾特殊字符等，從而防止SQL注入。
需要注意的是，雖然MyBatis提供了一些方式來防止SQL注入，但仍然需要開發人員自行編寫安全的SQL語句和邏輯代碼，遵循最佳實踐來保證系統的安全性。
