Druid 的 WallFilter 抛出 sql injection violation, comment not allow 问题的解决方法

最新推荐文章于 2025-09-26 01:24:35 发布
原创 最新推荐文章于 2025-09-26 01:24:35 发布 · 1.4k 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#java #mybatis #jdbc #spring #mysql

本文分析了使用阿里云Druid连接池时遇到的SQL注入异常，并提供了详细的解决方案，包括如何配置wall过滤器以允许SQL语句中包含注释。

ps:

    https://github.com/alibaba/druid/wiki/%E9%85%8D%E7%BD%AE-wallfilter可以对应修改参数。

    如需要执行多行语句 ， 要设置multiStatementAllow为true

1 现象

查询某个模块数据时，抛出以下异常：

Causedby: java.sql.SQLException: sql injection violation, comment not allow : select count(*) FROM sys_x a WHERE 1=1 --澶囨敞 AND a.organization_id NOT IN( SELECT b.descendant_id FROM sys_y b WHERE b.path_length!=0) at com.alibaba.druid.wall.WallFilter.checkInternal(WallFilter.java:800) at com.alibaba.druid.wall.WallFilter.connection_prepareStatement(WallFilter.java:251) at com.alibaba.druid.filter.FilterChainImpl.connection_prepareStatement(FilterChainImpl.java:473) at com.alibaba.druid.proxy.jdbc.ConnectionProxyImpl.prepareStatement(ConnectionProxyImpl.java:342) at com.alibaba.druid.pool.DruidPooledConnection.prepareStatement(DruidPooledConnection.java:349) at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method) at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:62) at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43) at java.lang.reflect.Method.invoke(Method.java:498) at org.springframework.jdbc.datasource.TransactionAwareDataSourceProxy$TransactionAwareInvocationHandler.invoke(TransactionAwareDataSourceProxy.java:239) at com.sun.proxy.$Proxy23.prepareStatement(Unknown Source) at org.springframework.jdbc.core.PreparedStatementCreatorFactory$PreparedStatementCreatorImpl.createPreparedStatement(PreparedStatementCreatorFactory.java:245) at org.springframework.jdbc.core.JdbcTemplate.execute(JdbcTemplate.java:583) ... 59 more 复制代码

2 原因

  1. 在数据源配置时，加上了 Druid 的 wall 过滤器。而它默认的拦截策略是，不允许 SQL 中带有备注。
  2. 在该条 SQL 语句中，果然加了备注。

3 解决

  1. 如果是新项目，SQL 语句较少，那么可以去除语句中的备注。
  2. 如果是老项目，那么就必须对 Druid 的 wall 过滤器进行配置，打开项目的 XML 配置文件，配置 druid 拦截过滤器，允许 SQL 语句中存在注释：
<!--配置 druid 拦截过滤器-->
<bean id="wall-filter-config" class="com.alibaba.druid.wall.WallConfig" init-method="init"> <!-- 是否允许语句中存在注释--> <property name="commentAllow" value="true" /> </bean> <bean id="wall-filter" class="com.alibaba.druid.wall.WallFilter"> <property name="config" ref="wall-filter-config" /> </bean> 复制代码

然后在 Druid 数据源配置中，加入 Druid 拦截过滤器：

<!--druid 数据源-->
<bean id="druidDataSource" class="com.alibaba.druid.pool.DruidDataSource"> ... <!--配置 Druid 过滤器--> <property name="proxyFilters"> <list> ... <ref bean="wall-filter"/> </list> </property> ... </bean> 复制代码

重启应用，看看问题是不是已经解决啦O(∩_∩)O哈哈~

出现 sql injection violation, dbType mysql, druid-version 1.2.22, syntax error: not supported 解决方法
码农研究僧的博客
11-18 2640
一开始Sql是可以执行的，后续集成某个报表的时候，引入Druid了，导致原先的Sql语句不能执行了 （先确保自身的Sql代码可以执行！）
解决Cause: java.sql.SQLException: sql injection violation, dbType mysql ... token IDENTIFIER deleted错误
念兮为美
03-21 1万+
Cause: java.sql.SQLException: sql injection violation, dbType mysql, , druid-version 1.2.11, syntax error: not supported.pos 86, line 1, column 79, token IDENTIFIER deleted : xxx详细的解决方法以及建表的命名规范。
Druid连接池防SQL注入实战：WallFilter深度应用
最新发布
gitblog_01082的博客
09-26 461
你是否曾因SQL注入攻击导致系统瘫痪？作为阿里云计算平台DataWorks团队出品的数据库连接池，Druid（[core/src/main/java/com/alibaba/druid/VERSION.java](https://link.gitcode.com/i/5164f539a73aac8463b1b4efdea3ff22)）提供了强大的安全防护能力。本文将聚焦其核心安全组件WallFil...
SQL报错 -- sql injection violation, comment not allow
mocoll的博客
05-08 2513
大概意思就是检测到SQL注入了语句含有就会报这个错。
sql injection violation, dbType mysql, druid-version 1.2.5, multi-statement not allow : UPDAT
热门推荐
好俗好麻烦的博客
03-25 1万+
报错信息 Caused by: java.sql.SQLException: sql injection violation, multi-statement not allow : UPDATE xxx表名 错误原因分析 违反sql注入：批量的操作不被允许 Druid的防火墙配置(Wall)中变量multiStatementAllow默认为false，导致被拦截 解决方式 方法一：修改连接字符串并且新增配置类 ① // 增加 allowMultiQueries=true // 例 spring:
多数据源 使用 flyWay 进行数据库管理
杨杨杨~~的博客
05-05 1912
flyway是一个开源的数据库迁移工具，它能够自动管理SQL脚本的执行，从而使数据库版本控制和升级变得更加容易。它支持各种数据库（Oracle，MySQL，PostgreSQL，SQL Server等）和多种脚本语言（SQL，Java，Groovy等）。用户可以使用命令行或API将SQL脚本打包在项目中，然后在开发过程中对数据库进行管理和升级。flyway对于Web开发人员来说是非常有用的，它可以自动检测和执行需要执行的脚本
五、MySql+Mybatis+Druid：报sql injection violation, comment not allow异常
panchang199266的博客
06-13 1万+
  报错的sql语句： &lt;update id="synchronizedStar" parameterType="Date"&gt; &lt;if test="lastUpdateTime == null"&gt; update business b,( #建立商户与星级的对应关系表 select ...
【postgresql】 sql injection violation, syntax error: syntax error, error in :‘imit 0, 10‘, expect CO
一个写了10年bug的程序员日常笔记。
09-26 1962
sql injection violation, syntax error: syntax error, error in :'imit 0, 10', expect COMMA, actual COMMA pos 242, line 5, column 40, token COMMA sql注入冲突，语法错误：语法错误，错误在：'mit 0，10'，预期COMMA，实际COMMA位置242，第5行，第40列，标记COMMA
Error updating database. Cause: java.sql.SQLException: sql injection violation, dbType mysql, druid-version 1.2.8, multi-statement not allow
07-15
在使用 Druid 数据源版本 1.2.8 时，如果出现 `sql injection violation, multi-statement not allow` 错误，并导致数据库更新操作失败，这通常是由于 Druid 的 SQL 防注入机制限制了多语句执行。Druid 默认禁止在一...
Druid配置Wallfilter
qq_40664441的博客
02-11 5673
问题：一个springboot+mybatis的项目，由tomcat连接池换成了Druid连接池，发现在执行一个批量更新的sql时报错：Caused by: java.sql.SQLException: sql injection violation, multi-statement not allow 解决：通过WallConfig配置multiStatementAllow=true可以解决此问...
Caused by: java.sql.SQLException: sql injection violation, comment not allow 问题处理
weixin_42422126的博客
07-12 1585
一个老项目，调用接口异常发现org.hibernate.exception.GenericJDBCException: could not prepare statement 错误，往下找到原因是sql有注释。把/*'*/注释去掉；注意去掉之后 @rownum :=@rownum 的 := 需要转义。
java.sql.SQLException: sql injection violation, comment not allow报错分析及解决
qq_43409973的博客
03-17 1463
java.sql.SQLException: sql injection violation, comment not allow报错分析及解决
druid连接池的时候，报错误：java.sql.SQLException: sql injection violation, syntax error: syntax error, error
沉默的夏虫
01-07 6070
因为项目中使用的是Oracle数据库，由于用到了Oracle中的over开窗函数导致sql语法在过druid连接池的 wall 拦截器时被拦截报错：java.sql.SQLException: sql injection violation, syntax error: syntax error, error 解决办法：1.优化你的SQL；2.关闭wall拦截器 关闭wall拦截器：我没有...
springboot druid连接池多数据源SQL错误sql injection violation, multi-statement not
954L
04-25 1102
一个小错误而已，为嘛专门写一个博客 主要是这个问题还不太好解决，一开始直接在sql连接参数常规性加上允许多条sql的参数，结果还是不好使，面向谷歌编程后改了yml配置依然不生效。 直接上github看issue的时候发现别人的解决办法，但是并不适用我，俺用的dynamic-datasource-spring-boot-starter多数据源，其他人的话下列链接应该大部分都能解决问题了。 相似问题的github解决办法：https://github.com/alibaba/druid/issues/980..
druid错误 sql injection violation, multi-statement not allow
weixin_38689747的博客
09-07 6060
** 错误描述： ** druid报错 org.springframework.jdbc.UncategorizedSQLException: Error querying database. Cause: java.sql.SQLException: sql injection violation, multi-statement not allow : xxxxxx sql语句 ** 错误分析： ** 主要引起原因是在mybatis一条sql中有多个;分割的语句，我的情况只在datasource
Springboot 使用 阿里的 druid 连接池 启用 wall sql防火墙的情况下怎么支持多sql同时执行？
changingshow的专栏
11-29 1595
Springboot 使用 阿里的 druid 连接池 启用 wall sql防火墙的情况下怎么支持多sql同时执行？
JAVA报错 sql injection violation, dbType oracle,druid-version 1.2.23,select alway true condition not allow
09-10
<think> 首先，用户的问题是：在Java中使用Druid 1.2.23连接Oracle数据库时，出现错误消息'sql injection violation, dbType oracle, druid-version 1.2.23, select alway true condition not allow'。用户想知道解决方案。 我需要参考用户提供的引用内容。引用[1]、[3]和[4]讨论了类似的错误，涉及Druid连接池的SQL注入违反错误。具体到用户的问题，错误消息包含“select alway true condition not allow”，这暗示了SQL查询中可能有一个总是为真的条件，被Druid的Wall拦截器认为是潜在的SQL注入风险。 回顾引用： - 引用[1]提到Oracle的over开窗函数触发了错误。 - 引用[2]是关于验证连接的问题。 - 引用[3]讨论了SQL注入违反错误，常见原因是关键字冲突，解决方案包括使用反引号、别名或双引号。 - 引用[4]建议检查SQL语句本身。 用户的具体错误消息："select alway true condition not allow"。这可能指的是SQL查询中包含一个总是为真的条件，比如“1=1”，这在SQL注入中常见，用于绕过验证。Druid的Wall拦截器可能检测到这种模式并抛出错误。 现在，我需要构建一个结构清晰的回答。指令要求回答结构清晰，逐步解决问题。另外，需要生成相关问题。 回答结构： 1. **解释错误原因**：简要解释为什么出现这个错误。 2. **解决方案**：提供具体的解决步骤。 3. **代码示例**：如果需要，提供代码示例。 4. **生成相关问题**：在末尾添加相关问题。 指令还要求： - 所有行内数学表达式使用$...$格式。 - 独立公式使用$$...$$格式并单独成段。 - 使用中文回答。 - 自然地添加引用标识。 在这个问题中，可能没有数学表达式，但如果有，我需要遵守格式。问题涉及SQL和Java错误，不太可能有数学内容，但以防万一。 关键点： - 错误是由于Druid的Wall拦截器检测到SQL查询中有“always true”条件，如“WHERE 1=1”。 - 解决方案可能包括移除或修改这样的条件，或禁用Wall拦截器的某些功能。 从引用[3]中，建议避免关键字冲突，但这里的错误更具体到“always true condition”。 可能的解决方案： 1. 检查SQL查询：确保没有包含“1=1”或类似的总为真条件。 2. 配置Druid Wall：禁用或调整Wall拦截器的设置。 3. 使用别名或转义：如果条件必要，尝试使用引号或别名。 4. 更新Druid版本：用户指定了1.2.23，但检查是否有已知bug。 引用[2]提到设置验证查询，但可能不直接相关。 步骤： - 步骤1：审查SQL语句，移除不必要的总是真条件。 - 步骤2：如果条件必须，配置Druid Wall拦截器允许该模式。 - 步骤3：考虑更新Druid版本或应用补丁。 在回答中，引用相关引用。例如，引用[3]提到使用引号避免冲突。 添加引用标识：[^3]等。 最后，生成相关问题。 完整回答大纲： 1. 介绍：解释错误原因。 2. 详细解决方案： - 检查SQL查询。 - 修改Druid配置。 - 其他建议。 3. 代码示例：如有必要。 4. 相关问题。 确保回答真实可靠：基于Druid文档和常见问题。Druid Wall拦截器确实会阻止可疑SQL模式。 Druid Wall配置参数： - 可以设置wallConfig.setNoneBaseStatementAllow(true) 或类似选项。 - 禁用Wall拦截器（不推荐）。 具体到用户错误：'select alway true condition not allow' – 可能是一个特定的规则。 在网上搜索类似问题：Druid Wall拦截器可能禁止总是真条件，因为它可能用于SQL注入。 解决方案： - 在Druid配置中添加允许条件。 例如：wallConfig.setSelectAllColumnAllow(true) 或其他设置。——需要检查Druid文档。 在回答中提供配置示例。 使用中文。 </think> ### Druid 连接池报错'sql injection violation, select alway true condition not allow'的解决方案 当您在Java中使用Druid 1.2.23连接Oracle数据库时，出现错误消息`sql injection violation, dbType oracle, druid-version 1.2.23, select alway true condition not allow`，这通常是由于Druid的Wall拦截器检测到SQL查询中包含一个"always true"条件（如`WHERE 1=1`），此类条件在SQL注入攻击中常见，因此被拦截器阻止。Druid的Wall拦截器是默认启用的安全机制，旨在防止恶意SQL注入，但有时会误判合法查询。以下我将基于您提供的引用内容，逐步解释原因并提供解决方案。解决方案包括审查SQL语句、调整Druid配置等步骤，确保安全可靠。 #### 错误原因分析 - **核心问题**：Druid Wall拦截器认为您的SQL查询包含一个"always true"条件（例如`1=1`或`true`），这可能被视为潜在SQL注入风险。例如，查询如`SELECT * FROM table WHERE 1=1`会被拦截，因为`1=1`总是为真，常用于绕过验证。 - **相关上下文**：根据引用[3]，Druid拦截器会检查字段名和关键字冲突，但本错误更特定于条件表达式。引用[1]提到Oracle函数可能触发类似错误，但这里涉及条件逻辑。 - **为什么发生**：在Oracle数据库中，某些查询可能无意中包含此类条件（如JOIN条件或动态SQL构建）。Druid 1.2.23版本的Wall规则较严格，容易误报[^3]。 #### 逐步解决方案 以下是结构化的解决步骤，建议按顺序尝试。每个步骤都基于Druid官方文档和常见实践，以减少误报同时保持安全性。 1. **审查并修改SQL查询（首选方法）** - **步骤**：检查您的SQL语句，移除或修改所有"always true"条件。例如： - 原查询：`SELECT * FROM orders WHERE status = 'active' AND 1=1` 改为：`SELECT * FROM orders WHERE status = 'active'` - 避免在WHERE、ON或HAVING子句中使用`1=1`, `true`, 或类似总为真的表达式。 - **为什么有效**：这直接解决拦截器的核心检测逻辑。引用[4]强调简化SQL是诊断问题的关键步骤[^4]。 - **额外建议**：如果条件必要（如动态SQL），使用别名或引号避免冲突。例如，在Oracle中，用双引号包裹字段名：`SELECT * FROM users WHERE "status" = 'active'`[^3]。 2. **调整Druid Wall拦截器配置** - 如果SQL查询无法修改（例如，在遗留代码中），可以配置Druid Wall拦截器放宽规则。添加以下代码到您的Druid数据源配置中（通常在数据源初始化时设置）。 ```java import com.alibaba.druid.pool.DruidDataSource; import com.alibaba.druid.wall.WallConfig; import com.alibaba.druid.wall.WallFilter; // 创建Druid数据源 DruidDataSource dataSource = new DruidDataSource(); dataSource.setUrl("jdbc:oracle:thin:@localhost:1521:ORCL"); // 替换为您的Oracle URL dataSource.setUsername("your_username"); dataSource.setPassword("your_password"); dataSource.setDriverClassName("oracle.jdbc.OracleDriver"); // 设置Wall拦截器配置，允许"always true"条件 WallConfig wallConfig = new WallConfig(); wallConfig.setSelectAllColumnAllow(true); // 允许SELECT * wallConfig.setConditionAndAlwayTrueAllow(true); // 关键：允许总是真条件 wallConfig.setConditionOpBitwseAllow(true); // 允许位运算条件 // 创建并配置WallFilter WallFilter wallFilter = new WallFilter(); wallFilter.setConfig(wallConfig); // 将WallFilter添加到数据源 dataSource.setFilters("wall,stat"); // 包括Wall过滤器和统计过滤器 dataSource.getProxyFilters().add(wallFilter); // 可选：设置验证查询（引用[2]建议） dataSource.setValidationQuery("SELECT 1 FROM DUAL"); // Oracle专用 dataSource.setValidationQueryTimeout(60000); // 超时设置 ``` - **解释**：`wallConfig.setConditionAndAlwayTrueAllow(true)`是关键，它明确允许"always true"条件。引用[2]提到设置验证查询有助于连接稳定性，但本错误主要涉及拦截器[^2]。 - **注意**：放宽规则会增加安全风险，只在必要时使用。并确保在开发环境测试。 3. **其他备选方案** - **更新Druid版本**：Druid 1.2.23可能有已知bug。尝试升级到最新版本（如1.2.16+修复了许多误报），但需测试兼容性。 - **禁用Wall拦截器（不推荐）**：如果以上无效，临时禁用拦截器（但仅用于诊断）。 ```java // 在数据源配置中移除Wall过滤器 dataSource.setFilters("stat"); // 只保留统计过滤器，去掉wall ``` - 警告：这会禁用所有SQL注入防护，只应在调试使用，并尽快还原。 - **检查数据库命名规范**：引用[3]建议避免关键字冲突，例如表名或字段名使用Oracle保留字（如"ORDER"），应采用规范命名（如`t_order`），并在查询中使用双引号：`SELECT * FROM "t_order" WHERE ...`[^3]。 #### 预防措施 - **测试和验证**：在修改后，使用Oracle SQL Developer运行查询，确保无语法错误。然后，在Java中测试Druid连接。 - **最佳实践**：遵循引用[3]的建表命名规范，降低冲突概率。同时，监控Druid日志（通过`dataSource.setLogAbandoned(true)`）以捕获更多错误细节。 - **安全权衡**：如果放宽Wall拦截器，建议补充其他安全措施，如预编译语句（PreparedStatement），以防止实际SQL注入。 如果问题持续，请提供完整SQL查询片段以便进一步分析。Druid的错误日志通常包含更详细信息，可在`druid.log`中查找。
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

微笑点燃希望

你的鼓励是我创作最大的动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值