Mybatis框架防SQL注入写法

Mybatis框架防SQL注入写法

Mybatis的SQL语句可以基于注解的方式写在类方法上面,但我们更多的是以xml的方式写到xml文件。

编写xml文件时,mybatis支持两种参数符号,一种是#,另一种是$ ( #使用预编译,$使用拼接SQL )。

比如:

<select id="queryAll" resultMap="resultMap">
select * from 表名 where id = #{id}
</select>

Mybatis框架下易产生SQL注入漏洞的情况主要分为以下三种:

1、模糊查询

错误写法 :

<!--
在这种情况下使用`#`会报错,如果把#号改成了$,这样java代码没有对用户输入的内容做处理势必会产生SQL注入漏洞。
-->
select * from 表名 where title like ‘%#{title}%‘

正确写法 :

select * from 表名 where title like concat(‘%‘,#{title}, ‘%‘)

2、in 之后的多个参数

错误写法 :

<!--
in之后多个id查询时使用# 同样会报错
-->
select * from 表名 where id in (#{ids}) 

正确用法:

<!--
使用foreach,而不是将#替换为$
-->
select * from 表名 where id in
<foreach collection="ids" item="id" open="("  separatosr=","  close=")">
#{ids}
</foreach>

3、order by 之后

这种场景应当在Java层面做映射,设置一个字段/表名数组,仅允许用户传入索引值。这样保证传入的字段或者表名都在白名单里面。需要注意的是在mybatis自动生成的SQL语句中,order by使用的也是$,而like和in没有问题。

Mybatis框架防SQL注入写法

上一篇:MySQL 8.0重置密码


下一篇:HW常见攻击方式 -- SQL注入漏洞