Mybatis、JPA都是如何防止SQL注入

1. mybatis
   拼接参数的时候使用 #{}， 参数替换之后，自动加上单引号’ ’
   将传入的参数作为一个字符串对象传入

注意： ${ } 参数直接替换，不加上单引号，可能会造成SQL注入

2. JPA

jpa使用的是，参数化查询，避免SQL注入

 TypedQuery<User> query = entityManager.createQuery(
    "SELECT u FROM User u WHERE u.username = ?1 AND u.password = ?2", User.class);
query.setParameter(1, username);
query.setParameter(2, password);
User user = query.getSingleResult();

setparameter，切记不要直接拼接参数