MyBatis使用#和$操作符模拟sql注入

最新推荐文章于 2025-04-04 13:28:23 发布

原创最新推荐文章于 2025-04-04 13:28:23 发布 · 547 阅读

0 ·

CC 4.0 BY-SA版权

Mybatis 专栏收录该内容

23 篇文章

订阅专栏

本文通过具体示例对比了MyBatis中#与$操作符在SQL注入防护上的区别，展示了#操作符如何有效防止SQL注入攻击，而$操作符则存在安全隐患。

文章目录

一、接口方法：

    public interface PlayerDao {
        List<Player> findByName(@Param("playName") String playName);
    }
    
    Mapper文件1：
     <select id="findByName" resultType="Player">
            select *
            from tb_player
            where  playName = #{playName}
     </select>

    Mapper文件2：
      <select id="findByName" resultType="Player">
             select *
             from tb_player
             where  playName = '${playName}'
      </select>

二、测试代码

	关键代码如下：
    public void testSqlInject() {
            // 1.获取sqlSession
            SqlSession sqlSession = sqlSessionFactory.openSession();
            // 2.获取对应mapper
            PlayerDao mapper = sqlSession.getMapper(PlayerDao.class);
            String playName = "Lebron James";
            String fakeName = "Lebron Jamesxxx' or '1 = 1 ";
            //List<Player> list = mapper.findByName(playName);
            List<Player> list = mapper.findByName(fakeName);
            for (Player player: list) {
                System.out.println(player);
            }
            System.out.println(list.size());
        }

三、验证

验证#操作符

使用Mapper文件1：
执行testSqlInject，分别放开执行下面2行代码

    List<Player> list = mapper.findByName(playName);
    List<Player> list = mapper.findByName(fakeName);
    执行第一行，只能找到一条记录，
    执行第二行，不能找出任何记录，
    从而验证了#的防sql注入。

验证$操作符

使用Mapper文件2
执行testSqlInject，分别放开执行下面2行代码

    List<Player> list = mapper.findByName(playName);
    List<Player> list = mapper.findByName(fakeName);
    执行第一行，只能找到一条记录，
    执行第二行，可以找出数据库的全部记录，
    从而验证了$的sql注入的不安全性。