Mybatis模糊查询的best pratice？

mybatis模糊查询的几种写法：http://blog.csdn.net/returnme/article/details/7185411

一开始，我喜欢这种写法，由于它够简单： SELECT * FROM tableName WHERE name LIKE '%${text}%'; 

惋惜，这种写法有注入漏洞。详见这里。

---------------------------------------------

因此，对用户输入的信息进行模糊查询时，我以为这样最好：

 SELECT * FROM tableName WHERE name LIKE CONCAT('%', #{empname}, '%')