软件测试之记一次简单的sql注入，java项目为什么不能产生sql注入安全问题

blingbling＊

于 2020-12-03 16:48:39 发布

阅读量302

点赞数

分类专栏：软件测试文章标签： java sql注入安全测试 mybatis

本文链接：https://blog.youkuaiyun.com/qq_38112817/article/details/110541467

版权

6 篇文章

订阅专栏

前提：项目后端使用java语言

问题：前端传入特殊字符串为什么不能引起sql注入安全问题？

研究过程：

如果按照所有文章中说的这样：
String sql= "select * from user_table where username="+username+"and password="+password;

输入："or 1=1--

则结果就会是：String sql= "select * from user_table where username=""or 1=1--and password="";

但是我输入后并不能破解，然后我向后端小伙伴要了sql查询的代码，如下伪代码：

<select id = "" resultType = "">
	SELECT
	<include * = ""/>
	FROM user_table a
	WHERE a.username = #{username}
</select>

现在细心的小伙伴应该能看出问题了，我们这个项目后端写的sql查询是用的mybatis，而不是定义的sql字符串，所以使用引号闭合sql语句的方法并不适用。

^^o^_{又是机智的一天}