mybatis接收sql字符串 mybatis如何防止sql注入

mybatis怎么返回list？<select id=“selectAll”参数类型=“java.lang.String文件“Resulttype=”stu“>...