

【码动四季·秋】不写 XML 就没有 SQL 注入了吗:MyBatis-Plus 无 XML 持久层的注入面治理
没有 XML 映射文件就自动免疫 SQL 注入?ArticlePilot 的 D5-1 安全自查证明这个说法只对了一半。无 XML 的 Wrapper 体系把注入入口物理收敛到 apply/last 两个 API,审计成本趋零,但排序字段等"结构位"仍是漏点。本文基于实仓三连扫描的真实命中输出(XML/${}/last-apply 三项,截图为命令实际执行结果)拆解:哪里天然安全、排序字段为何必须白名单、last() 拼接如何禁止、Spring @Value 的 ${} 误报怎么甄别,并给出可复用的注入面自



