myBatis的SQL注入问题

最新推荐文章于 2024-09-14 16:48:23 发布

原创最新推荐文章于 2024-09-14 16:48:23 发布 · 177 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#sql注入 #like sql注入

mybatis 专栏收录该内容

5 篇文章

订阅专栏

本文介绍了在使用SQL语句时如何避免SQL注入攻击的方法，重点对比了使用$与#的不同，并给出了具体的示例代码。文章强调在使用like语句时如何正确使用#来构造SQL语句以确保安全性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

sqlMap中尽量不要使用$;$使用的是Statement（拼接字符串），会出现注入问题。#使用的是PreparedStatement（类似于预编译），将转义交给了数据库，不会出现注入问题；.前者容易出现SQL注入之类的安全问题，所以ibatis推荐使用#。

1、正确使用$示例：ORDER BY $sortFieldName$ $sortType$，当参数是数据库字段名时这样使用是合适的，但一定注意这些参数一定不能是用户输入的。

2、错误使用$示例：URL LIKE '%$URL$%'，比如参数URL传进一个单引号“'”，生成的sql语句会是：URL like '%'%',这样肯定是会报错的，解决方法是利用字符串连接的方式来构成sql语句，此处应该改为: URL LIKE '%’||#URL#||’%'。

3、错误的使用$一般都出现在 like后面，可以搜索 %$ 或者 $%。修改方法比较简单直接替换即可。%$替换为 %’||# ， $%替换为#||’%。

综上：

对于like语句，难免要使用$写法，

1. 对于Oracle可以通过'%'||'#param#'||'%'避免；

2. 对于MySQL可以通过CONCAT('%',#param#,'%')避免；

3. MSSQL中通过'%'+#param#+'% 。

如下3种SQL语句：

 
          mysql: select * from t_user where name like concat(
          '%'
          ,#name #,
          '%'
          )       
         
 
          oracle: select * from t_user where name like 
          '%'
          ||#name #||
          '%'      
         
 
          SQL Server:select * from t_user where name like 
          '%'
          +#name #+'% 
         