记得之前讲jdbc时说用PreparedStament就可以处理

同学你好。是的，同学很聪明，在这里MyBatis就是借用了PreparedStament。#{ } 相当于参数占位符。

select * from t_goods where title = #{title} 就相当于先发送了“select * from t_goods where title = ?”进行预编译。因为对SQL进行了预编译，而其后注入的参数将不会再进行SQL编译，所以可以用来防止SQL注入攻击。

如果解答了同学的疑问，望采纳~

祝学习愉快~