Mybatis模糊查询的best pratice？

mybatis模糊查询的几种写法：http://blog.csdn.net/returnme/article/details/7185411

一开始，我喜欢这种写法，因为它够简单： SELECT * FROM tableName WHERE name LIKE '%${text}%'; 

可惜，这种写法有注入漏洞。详见这里。

---------------------------------------------

所以，对用户输入的信息进行模糊查询时，我觉得这样最好：

 SELECT * FROM tableName WHERE name LIKE CONCAT('%', #{empname}, '%')