浅谈Java下SQL注入问题

最新推荐文章于 2025-05-10 22:40:00 发布

代码_lzq

最新推荐文章于 2025-05-10 22:40:00 发布

阅读量2.5k

点赞数

本文链接：https://blog.youkuaiyun.com/weixin_42603304/article/details/123327856

版权

java 同时被 2 个专栏收录

4 篇文章

订阅专栏

MySQL

3 篇文章

订阅专栏

本文探讨了SQL注入的概念，特别是在Mybatis框架下如何发生。通过实例展示了SQL注入可能导致的数据安全问题，并提出了解决SQL注入的两种主要方法：严格的参数校验和使用SQL预编译，如JDBC的PreparedStatement。提醒开发者对SQL注入保持警惕。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

什么是SQL注入

所谓SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。

Mybatis下SQL注入

Mybatis的SQL语句可以基于注解的方式写在类方法上面，更多的是以xml的方式写到xml文件。Mybatis中SQL语句需要我们自己手动编写或者用generator自动生成。

编写xml文件时，Mybatis支持两种参数符号，一种是#，另一种是$。
Java开发站点大多是预编译，相应的sql注入会少，但是仍然存在。在预编译获取参数使用的是#号，$是拼接意思，在像like,in 这种使用不规范#符会报错，所以会使用$，就会有机会产生SQL注入问题。

先看看简单的例子：

正常情况：

--简单的查询语句,使用#
select id,name from user where id = #{id}

这里的id是前端传入的参数(假设为 1)，正常执行日志是：

Preparing:select 'id','name' from 'user' where id = ?
Parmeters:1(String)

SQL注入：

--简单的查询语句,使用$
select id,name from user where id = ${id}

这时当前端带过来的参数是：1 or 1==1，执行的结果就会变为：

Preparing:select 'id','name' from 'user' where id = 1 or 1=1
Parmeter:

这时候可能觉得并没有什么问题，因为依旧能查询到数据。
此时有业务需求，MyBatis会同时查询多个参数，此时会在properties的数据库连接中添加allowMultiQueries=true这个参数。这时当前端参数写成：
1;delete from user，那么后台语句就会变成这样：

Preparing:select 'id','name' from 'user' where id = 1;delete from 'user';
Parmeter:

会产生数据丢失等严重问题。

下面再看另外的一个场景：
比如我们的登录功能，其登录界面包括用户名和密码输入框以及提交按钮，登录时需要输入用户名和密码，然后提交。此时调用接口
/user/login/ 加上参数username、password，首先连接数据库，然后后台对请求参数中携带的用户名、密码进行参数校验，即SQL的查询过程。假设正确的用户名和密码为root和123456，输入正确的用户名和密码、提交，相当于调用了以下的SQL语句。

SELECT * FROM user WHERE username = 'root' AND password = '123456'

SQL中会将#以后的字符串当做注释处理，如果我们使用 ' or 1=1 #作为用户名参数，那么服务端构建的SQL语句就如下：

select * from user where username='' or 1=1 #' and password='123456'

在用户输入变量的时候，先用一个分号结束当前的语句。然后再插入一个恶意SQL语句即可。由于插入的命令可能在执行前追加其他字符串，因此攻击者常常用注释标记“#”来终止注入的字符串。执行时，系统会认为此后语句位注释，故后续的密码文本将被忽略，不被编译与执行。而1=1属于常等型条件，因此这个SQL将在不需要用户名和密码校对情况下就能查询出所有的登录用户。
其实上面的SQL注入只是在参数层面做了些手脚，如果是引入了一些功能性的SQL那就更危险了，比如上面的登录功能，如果用户名使用这个' or 1=1;delete * from users; #，那么在";"之后相当于是另外一条新的SQL，这个SQL是删除全表，是非常危险的操作，因此SQL注入这种还是需要特别注意的。

如何解决SQL注入

严格的参数校验
参数校验就没得说了，在一些不该有特殊字符的参数中提前进行特殊字符校验即可。
SQL预编译
在知道了SQL注入的原理之后，我们同样也了解到MySQL有预编译的功能，指的是在服务器启动时，MySQL Client把SQL语句的模板（变量采用占位符进行占位）发送给MySQL服务器，MySQL服务器对SQL语句的模板进行编译，编译之后根据语句的优化分析对相应的索引进行优化，在最终绑定参数时把相应的参数传送给MySQL服务器，直接进行执行，节省了SQL查询时间，以及MySQL服务器的资源，达到一次编译、多次执行的目的，除此之外，还可以防止SQL注入。

具体是怎样防止SQL注入的呢？实际上当将绑定的参数传到MySQL服务器，MySQL服务器对参数进行编译，即填充到相应的占位符的过程中，做了转义操作。我们常用的JDBC就有预编译功能，不仅提升性能，而且防止SQL注入。
使用#代替$，使用preparedStatement代替SQL拼接
慎重使用allowMultiQueries