3行代码防篡改！Mybatis-PageHelper安全防护实战指南

3行代码防篡改！Mybatis-PageHelper安全防护实战指南

【免费下载链接】Mybatis-PageHelper Mybatis通用分页插件 项目地址: https://gitcode.com/gh_mirrors/my/Mybatis-PageHelper

你还在手写分页SQL吗？还在担心参数传递导致的SQL注入风险？作为MyBatis生态中使用量超1000万的分页插件，Mybatis-PageHelper不仅能帮你一行代码实现分页，更内置了强大的安全防护机制。本文将揭秘插件如何通过签名验证防止SQL篡改与注入攻击，让你在享受便捷分页的同时筑牢安全防线。

读完本文你将掌握：

• 3个核心安全工具类的工作原理
• 5种常见注入攻击的防御实战
• 2个配置项实现零代码安全加固
• 1套完整的安全验证流程

安全防护架构解析

Mybatis-PageHelper的安全防护体系主要通过三大组件构成：SQL注入检测工具类、参数验证拦截器和动态SQL替换机制。这三层防护形成了完整的安全闭环，确保分页过程中的SQL语句不会被恶意篡改。

SQL注入检测核心类

最关键的安全组件是SqlSafeUtil.java，它通过双正则匹配机制实现SQL注入检测：

private static final Pattern SQL_SYNTAX_PATTERN  = Pattern.compile(
  "(insert|delete|update|select|create|drop|truncate|grant|alter|deny|revoke|call|execute|exec|declare|show|rename|set)" +
  "\\s+.*(into|from|set|where|table|database|view|index|on|cursor|procedure|trigger|for|password|union|and|or)|" +
  "(select\\s*\\*\\s*from\\s+)", Pattern.CASE_INSENSITIVE);
  
private static final Pattern SQL_COMMENT_PATTERN = Pattern.compile(
  "'.*(or|union|--|#|/*|;)", Pattern.CASE_INSENSITIVE);

该类采用"双关键字匹配"策略，只有当检测到特定SQL关键字组合时才判定为注入风险。这种方式相比传统单一关键字检测，能有效减少误判率。

安全验证流程

安全验证流程在分页拦截器中自动触发，具体路径为PageInterceptor.java。拦截器会在SQL执行前对参数进行安全检查，流程图如下：

实战：5种注入攻击防御演示

1. 关键字注入防御

攻击者尝试在排序参数中注入删除语句：

// 恶意参数
String orderBy = "id; DELETE FROM users; --";

// 安全检测触发
if(SqlSafeUtil.check(orderBy)){
  throw new PageException("SQL注入风险");
}

SqlSafeUtil.java中的check方法会检测到分号和DELETE关键字组合，立即阻断执行。

2. 注释截断攻击防御

针对常见的注释截断攻击，如：

SELECT * FROM users WHERE id=1;-- AND status=1

插件通过SQL_COMMENT_PATTERN正则表达式，能精准识别--、#、/*等注释符号，防止SQL语句被截断篡改。

3. 函数注入防御

对于包含函数调用的恶意参数：

String orderBy = "id,if(1=2,1,(sleep(100)))";

SqlSafeUtil.java通过检测括号(字符，直接拦截所有包含函数调用的参数，从源头阻止复杂注入攻击。

4. 大小写混淆攻击防御

攻击者常通过大小写混淆绕过简单检测：

String orderBy = "SeLeCt * FrOm users";

插件在正则匹配时使用Pattern.CASE_INSENSITIVE标志，确保无论大小写如何变化都能被检测到，如SqlSafeUtil.java所示。

5. 空格变异攻击防御

针对无空格注入攻击：

SELECT*FROM users

SqlSafeUtilTest.java中的测试用例专门验证了这类场景，即使SQL关键字与操作数之间没有空格，也能被精准识别。

零代码安全加固配置

全局安全开关

在MyBatis配置文件中添加：

<plugins>
  <plugin interceptor="com.github.pagehelper.PageInterceptor">
    <!-- 启用SQL安全检查 -->
    <property name="safeRowBoundsEnabled" value="true"/>
    <!-- 启用严格模式 -->
    <property name="strict" value="true"/>
  </plugin>
</plugins>

通过这两个配置项，无需修改业务代码即可启用全套安全防护机制。

自定义安全规则

如果默认安全规则不满足业务需求，可通过扩展SqlSafeUtil.java类，添加自定义检测规则：

public class CustomSqlSafeUtil extends SqlSafeUtil {
  private static final Pattern CUSTOM_PATTERN = Pattern.compile("自定义正则");
  
  public static boolean check(String value) {
    return super.check(value) || CUSTOM_PATTERN.matcher(value).find();
  }
}

安全验证流程源码解析

拦截器触发点

分页安全验证的入口在PageInterceptor.java的intercept方法。当执行分页查询时，拦截器会自动调用参数验证逻辑。

测试用例解析

SqlSafeUtilTest.java包含了全面的安全测试场景，如：

// 测试关键字空格变异
@Test
public void testSpaceVariations() {
  assertSql(true, "SELECT*FROM user");        // 无空格
  assertSql(true, "SELECT *FROM user");       // 左空格
  assertSql(true, "SELECT* FROM user");       // 右空格
  assertSql(true, "SELECT\t*FROM user");      // Tab分隔
}

这些测试确保了在各种空格变异情况下，安全检测依然有效。

生产环境安全最佳实践

1. 双重验证机制

建议在使用PageHelper时，同时启用插件内置安全检测和应用层验证：

// 应用层额外验证
public PageInfo<User> findUsers(int pageNum, int pageSize, String orderBy) {
  // 业务规则验证
  if(!isValidOrderBy(orderBy)){
    throw new IllegalArgumentException("非法排序字段");
  }
  // PageHelper分页
  PageHelper.startPage(pageNum, pageSize, orderBy);
  return new PageInfo<>(userMapper.selectAll());
}

2. 安全日志审计

通过扩展PageInterceptor.java，添加安全日志记录功能：

if(SqlSafeUtil.check(orderBy)){
  log.warn("SQL注入尝试: {}", orderBy);
  throw new PageException("安全检查失败");
}

3. 定期安全测试

结合SqlSafeUtilTest.java的测试框架，定期执行安全测试，确保随着业务变化安全防护依然有效。

总结与展望

Mybatis-PageHelper通过SqlSafeUtil、PageInterceptor等核心组件，构建了从参数验证到SQL生成的全链路安全防护体系。双正则匹配机制既能精准识别注入攻击，又能避免过度拦截影响正常业务。

未来插件可能会引入更智能的AI检测算法，通过机器学习识别新型注入模式。同时社区也在讨论添加参数白名单功能，进一步提升安全防护的灵活性。

作为开发者，我们应始终牢记"安全无小事"，在享受分页便利的同时，充分利用插件提供的安全特性，为应用构建坚实的安全防线。

官方安全文档：wikis/zh/Important.md 完整测试用例：src/test/java/com/github/pagehelper/util/SqlSafeUtilTest.java

【免费下载链接】Mybatis-PageHelper Mybatis通用分页插件 项目地址: https://gitcode.com/gh_mirrors/my/Mybatis-PageHelper