MyBatis使用#和$操作符模拟sql注入

最新推荐文章于 2025-04-08 15:54:06 发布

惑边

最新推荐文章于 2025-04-08 15:54:06 发布

阅读量519

点赞数

分类专栏： Mybatis

本文链接：https://blog.youkuaiyun.com/my_momo_csdn/article/details/88537480

版权

Mybatis 专栏收录该内容

23 篇文章

订阅专栏

文章目录

一、接口方法：

    public interface PlayerDao {
        List<Player> findByName(@Param("playName") String playName);
    }
    
    Mapper文件1：
     <select id="findByName" resultType="Player">
            select *
            from tb_player
            where  playName = #{playName}
     </select>

    Mapper文件2：
      <select id="findByName" resultType="Player">
             select *
             from tb_player
             where  playName = '${playName}'
      </select>

二、测试代码

	关键代码如下：
    public void testSqlInject() {
            // 1.获取sqlSession
            SqlSession sqlSession = sqlSessionFactory.openSession();
            // 2.获取对应mapper
            PlayerDao mapper = sqlSession.getMapper(PlayerDao.class);
            String playName = "Lebron James";
            String fakeName = "Lebron Jamesxxx' or '1 = 1 ";
            //List<Player> list = mapper.findByName(playName);
            List<Player> list = mapper.findByName(fakeName);
            for (Player player: list) {
                System.out.println(player);
            }
            System.out.println(list.size());
        }

三、验证

验证#操作符

使用Mapper文件1：
执行testSqlInject，分别放开执行下面2行代码

    List<Player> list = mapper.findByName(playName);
    List<Player> list = mapper.findByName(fakeName);
    执行第一行，只能找到一条记录，
    执行第二行，不能找出任何记录，
    从而验证了#的防sql注入。

验证$操作符

使用Mapper文件2
执行testSqlInject，分别放开执行下面2行代码

    List<Player> list = mapper.findByName(playName);
    List<Player> list = mapper.findByName(fakeName);
    执行第一行，只能找到一条记录，
    执行第二行，可以找出数据库的全部记录，
    从而验证了$的sql注入的不安全性。