mybatis拦截器怎么给sql语句中的“问号”填入对应的参数

mybatis拦截器如何为sql语句中的“问号”填写相应的参数？简介:在mybatis拦截器中，我拼接了一段sql，比如select * from user where id =？，如何用方法传入的id值自动填充sql中的问号？不能拼接，会有sql注入问题。