Mybatis框架防SQL注入写法
Mybatis的SQL语句可以基于注解的方式写在类方法上面,但我们更多的是以xml的方式写到xml文件。
编写xml文件时,mybatis支持两种参数符号,一种是#,另一种是$ ( #使用预编译,$使用拼接SQL )。
比如:
<select id="queryAll" resultMap="resultMap">
select * from 表名 where id = #{id}
</select>
Mybatis框架下易产生SQL注入漏洞的情况主要分为以下三种:
1、模糊查询
错误写法 :
<!--
在这种情况下使用`#`会报错,如果把#号改成了$,这样java代码没有对用户输入的内容做处理势必会产生SQL注入漏洞。
-->
select * from 表名 where title like ‘%#{title}%‘
正确写法 :
select * from 表名 where title like concat(‘%‘,#{title}, ‘%‘)
2、in 之后的多个参数
错误写法 :
<!--
in之后多个id查询时使用# 同样会报错
-->
select * from 表名 where id in (#{ids})
正确用法:
<!--
使用foreach,而不是将#替换为$
-->
select * from 表名 where id in
<foreach collection="ids" item="id" open="(" separatosr="," close=")">
#{ids}
</foreach>
3、order by 之后
这种场景应当在Java层面做映射,设置一个字段/表名数组,仅允许用户传入索引值。这样保证传入的字段或者表名都在白名单里面。需要注意的是在mybatis自动生成的SQL语句中,order by使用的也是$,而like和in没有问题。