Mybatis like 查询 防止SQL注入方法相关原理和解决方法整理

最新推荐文章于 2025-04-15 16:12:20 发布
最新推荐文章于 2025-04-15 16:12:20 发布
阅读量9k 收藏 2
点赞数 2
分类专栏： IBatis
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/JavaAlpha/article/details/51217383
版权

SQL注入：引自百度百科：

所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意）的SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。[1]  比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击．

mybatis中的#和$的区别 ：点击打开链接

 主题：ibatis中，关于$和#的微妙关系 点击打开链接

Mybatis3 防止SQL注入 点击打开链接


#{xxx}，使用的是PreparedStatement，会有类型转换，所以比较安全；
${xxx}，使用字符串拼接，可以SQL注入；
like查询不小心会有漏动，正确写法如下：
Mysql: select * from t_user where name like concat('%', #{name}, '%')  

代码审计：MyBatis框架SQL注入查询
墨痕诉清风的博客
08-29 588
MyBatis 是一款优秀的持久层框架，它支持定制化 SQL、存储过程以及高级映射。MyBatis 避免了几乎所有的 JDBC 代码和手动设置参数以及获取结果集。MyBatis 可以使用简单的XML或注解来配置和映射原生信息，将接口和 Java 的 POJOs(Plain Old Java Objects,普通的 Java对象)映射成数据库中的记录。MyBatis是将数据库字段和java对象关联到了一起，开发者无需在关注数据库操作，直接操作java对象就可以完成数据库的增删改查等操作。但是在。
程序员都要懂的SQL防注入Mybatis框架SQL防注入
风水道人
12-06 1175
SQL注入漏洞作为WEB安全的最常见的漏洞之一，在java中随着预编译与各种ORM框架的使用，注入问题也越来越少。新手代码审计者往往对Java Web应用的多个框架组合而心生畏惧，不知如何下手，希望通过Mybatis框架使用不当导致的SQL注入问题为例，能够抛砖引玉给新手一些思路。以上就是mybatis的sql注入审计的基本方法，我们没有分析的几个点也有问题，新手可以尝试分析一下不同的注入点来实操一遍，相信会有更多的收获。
Mybatis进行模糊查询以及避免因为模糊查询导致的sql注入
weixin_44976835的博客
12-19 1290
模糊查询 ，like语句 模糊查询怎么写？ 1.java代码执行的时候，传递通配符% 在接口中创建方法 /** * 模糊查询 * @return */ List<User> getUserLike(String value); 写sql语句 <!--模糊查询--> <select id="getUserLike" resultType="pojo.User"> select * from mybatis.User where name like #{value} &lt
mybaits模糊查询防止sql注入
java_zc的博客
10-26 722
#{xxx}，使用的是PreparedStatement，会有类型转换，所以比较安全； ${xxx}，使用字符串拼接，可以SQL注入； like查询不小心会有漏洞，正确写法如下： Mysql:   [sql] view plain copy   select * from t_user where name like co
SQL注入与安全问题：如何避免在 MyBatis-Plus 中出现 SQL 注入漏洞？
最新发布
一碗黄焖鸡三碗米饭的博客
04-15 976
SQL 注入（SQL Injection）是一种攻击技术，攻击者通过将恶意的 SQL 语句插入到应用程序的输入中，从而改变原有的 SQL 查询逻辑。由于动态拼接 SQL 语句时未对输入参数进行过滤和校验，攻击者就能够执行任意 SQL 操作，甚至能够获取、修改或删除数据库中的数据。使用 MyBatis-Plus 的Wrapper对象：避免手动拼接 SQL，使用安全的参数化查询。参数化查询：通过预编译的方式，将用户输入作为参数传递给数据库，避免 SQL 注入。开启 MyBatis 的 SQL 注入防护功能。
【Mybatis】Mybatis如何防止sql注入
AliceNo的博客
01-03 7717
在软件开发过程中，数据安全一直是至关重要的一环。SQL 注入攻击是一种常见而危险的威胁，攻击者通过恶意构造 SQL 语句，试图绕过应用程序的合法性检查，访问、修改或删除数据库中的数据。MyBatis 作为一款流行的持久层框架，提供了多种机制来防范 SQL 注入攻击，开发者应当充分利用这些机制，保障应用程序的数据安全性。在应对 SQL 注入攻击时，MyBatis 的参数化 SQL 语句、动态 SQL 标签以及拦截器等功能为开发者提供了有力的支持。
mybatis模糊查询应先处理好参数，再进行查询，防止sql注入
Samin的博客
04-23 580
模糊查询的关键词like ，在查询输入的字符串前后加上%当name传入的值为就会产生sql注入，这和concat有关，传入的name和%没有看作一个整体，做了拼接。
mybatis中的like查询，$取值时防sql注入和通配符注入，#取值时防通配符注入
luoyong at csdn
12-11 9130
在mybatis中用like查询时，如果用户输入的值有"_"和“%”，则会出现这种情况： 用户本来只是想查询“abcd_”，查询结果中却有"abcd_"、"abcde"、"abcde"等等，用户要查询"30%"（注：百分之三十）时也会出现问题。 测试后发现不管你是用#{xxxx }还是用${xxxx }取值都会存在这些问题，而且用${xxxx }取值时还存在sql注入的问题。 为了解决这些问
浅谈mybatis中的#和$的区别 以及防止sql注入的方法
09-01
在MyBatis中，`#`和`$`在动态SQL中的使用有着明显的区别，它们在处理传入数据的方式上有所不同，同时也与SQL注入的安全问题密切相关。了解这些区别对于编写安全且高效的MyBatis映射文件至关重要。 1. **# 的使用**...
mybatis中如何防止sql注入和传参
kali_Ma的博客
12-24 2921
环境 使用mysql，数据库名为test，含有1表名为users，users内数据如下 JDBC下的SQL注入 在JDBC下有两种方法执行SQL语句，分别是Statement和PrepareStatement，即其中，PrepareStatement为预编译 Statement SQL语句 SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "' 当传入数据为 username =
Mybatis模糊查询和动态sql语句的用法
08-26
这种方法可以实现更加灵活的模糊查询，並且可以防止SQL注入。 三、多条件查询 在实际应用中，我们经常需要实现多条件查询，例如根据员工姓名和性别来查询员工信息。在Mybatis中，我们可以使用if标签和where标签来...
iabtis-like查询防止SQL注入
RoyRaoHR的博客
01-07 1122
最近线上总是报org.springframework.jdbc.BadSqlGrammarException错误 org.springframework.jdbc.BadSqlGrammarException: PreparedStatementCallback; bad SQL grammar [SELECT lot_code as CODE,lot_name as NAME FROM or_custom_lot where 1=1 and lot_name like '%jia'zhao'y%' ORD
ibatis like 用法
siashuayongsheng的专栏
08-14 174
[code="java"] mysql: select * from tbl_school where school_name like concat('%',#name#,'%') oracle: select * from tbl_school where school_name like '%'||#name#||'%' sql server:se...
mybatis使用like模糊查询防sql注入写法
HelloWorld
04-11 862
在使用like模糊查询时，一般写法是：select * from user where username like "%三%"。也可以写为：select * from user where username like "%"'三'"%"。根据这种写法使用#｛}可以写为： select * from user where username like "%"#{valu...
Mybatis预防SQL注入之like模糊查询整理
qq_34868715的博客
09-11 7508
#{}是经过预编译的，是安全的；${}是未经过预编译的，仅仅是取变量的值，是非安全的，存在SQL注入。 如果order by语句后用了${}，那么不做任何处理的时候是存在SQL注入危险的。只能手动处理过滤一下输入的内容。如判断一下输入的参数的长度是否正常（注入语句一般很长），更精确的过滤则可以查询一下输入的参数是否在预期的参数集合中。 ‘#’与 ‘$’ 的区别最大在于：#{} 传入值时，sql解析...
SQL中，有效防止like的SQL注入
白高林的专栏
03-12 5868
SQL中有效防止like的SQL注入 #{xxx}，使用的是PreparedStatement，会有类型转换，所以比较安全。 ${xxx}，使用字符串拼接，可以SQL注入。 like查询不小心会有漏动，正确写法如下： Mysql select * from t_user where name like concat('%', #{name}, '%') Oracle select...
mybatis 模糊查询 防SQL注入
m0_38053538的博客
07-12 582
不同数据库语法不一样的，MySQL：1select * from user where name like concat('%', #{name}, '%');oracle:1select * from user where name like '%' || #{name} || '%';
mybatis 模糊查询，防止sql注入
hlz5857475的博客
07-10 2994
    &lt;where&gt;   //防止sql注入的模糊查询          &lt;if test=“   name!=null and name!= ‘ ’     ” &gt;                   and name like concat(“%”，#{name} ，“%”)          &lt;if&gt; &lt;where&gt;  ...
Ibatis like 查询防止SQL注入的方法
weixin_33984032的博客
12-15 106
Ibatis like 查询防止SQL注入的方法mysql: select * from tbl_school where school_name like concat('%',#name#,'%')        oracle: select * from tbl_school where school_name like '%'||#name#||'%'        sql server...
MyBatis-Plus like sql注入
04-03
### MyBatis-Plus 中防止 Like 查询 SQL 注入的最佳实践 在开发过程中，SQL 注入是一个常见的安全威胁。对于像 `LIKE` 这样的查询操作，如果参数未经过适当处理，则可能成为攻击者利用的漏洞。以下是关于如何在 MyBatis-Plus 中有效预防和处理 `LIKE` 查询中的 SQL 注入问题的方法。 #### 使用预编译语句 MyBatis 和 MyBatis-Plus 提供了内置的支持来通过预编译语句（PreparedStatement）自动转义特殊字符，从而减少手动编码的工作量并增强安全性。当使用动态 SQL 或条件构建器时，框架会自动生成带有占位符 (`?`) 的 SQL 语句[^1]。这可以确保传入的数据不会被解释为 SQL 片段的一部分。 ```java @Mapper public interface UserMapper extends BaseMapper<User> { @Select("SELECT * FROM user WHERE name LIKE CONCAT('%', #{name}, '%')") List<User> selectByNameLike(@Param("name") String name); } ``` 上述代码片段展示了如何通过 `#{}` 占位符绑定变量到 SQL 参数中，而不是直接拼接字符串。这种方式能够显著降低注入风险[^2]。 #### 利用 Wrapper 条件构造工具类 MyBatis-Plus 提供了一个强大的 API——Wrapper 接口及其子接口 QueryWrapper 和 UpdateWrapper，用于简化复杂的查询逻辑编写过程。这些工具可以帮助开发者更方便地实现模糊匹配功能的同时也提供了更高的安全保障： ```java QueryWrapper<User> wrapper = new QueryWrapper<>(); wrapper.like("name", userInput).or().like("email", userInput); List<User> users = userMapper.selectList(wrapper); ``` 这里的关键在于，无论何时调用了诸如 `.like()` 方法，内部都会采用安全的方式传递数据给数据库引擎执行[^3]。 #### 手动清理输入 尽管现代 ORM 已经极大地减少了手写原始 SQL 的需求，但在某些情况下仍然不可避免要这样做。此时就需要特别注意对用户提交的内容进行额外验证与过滤。可以通过 Java 自带或者第三方库完成这一任务，比如 Apache Commons Lang 库下的 `StringEscapeUtils.escapeSql()` 函数[^4]: ```java import org.apache.commons.text.StringEscapeUtils; // 假设这是来自用户的不可信输入 String unsafeInput = request.getParameter("search"); // 转义潜在危险字符 String safeSearchTerm = "%" + StringEscapeUtils.escapeSql(unsafeInput) + "%"; ``` 不过需要注意的是，在大多数场景下推荐优先考虑前面提到的技术手段而非依赖于这种显式的转换方法，因为后者容易遗漏边界情况而导致隐患残留。 #### 配置全局拦截器 为了进一步加强防护措施，还可以定义一个通用的插件层用来捕获所有的请求并对其中涉及敏感字段的部分实施统一校验策略。例如创建一个基于 AspectJ AOP 的切面程序专门针对所有 DAO 层的操作加以审查[^5]。 --- ### 总结 综上所述，最佳实践中应尽可能依靠框架本身的能力去规避风险源；同时也要养成良好的编程习惯，如严格限定外部交互界面可接受的形式范围以及定期复查现有业务是否存在薄弱环节等问题所在之处。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值