Mybatis框架防SQL注入写法

Mybatis框架防SQL注入写法

Mybatis的SQL语句可以基于注解的方式写在类方法上面，但我们更多的是以xml的方式写到xml文件。

编写xml文件时，mybatis支持两种参数符号，一种是#，另一种是$ ( #使用预编译，$使用拼接SQL )。

比如：

<select id="queryAll" resultMap="resultMap">
select * from 表名 where id = #{id}
</select>

Mybatis框架下易产生SQL注入漏洞的情况主要分为以下三种：

1、模糊查询

错误写法 :

<!--
在这种情况下使用`#`会报错，如果把#号改成了$,这样java代码没有对用户输入的内容做处理势必会产生SQL注入漏洞。
-->
select * from 表名 where title like '%#{title}%'

正确写法 ：

select * from 表名 where title like concat('%',#{title}, '%')

2、in 之后的多个参数

错误写法 :

<!--
in之后多个id查询时使用# 同样会报错
-->
select * from 表名 where id in (#{ids}) 

正确用法:

<!--
使用foreach，而不是将#替换为$
-->
select * from 表名 where id in
<foreach collection="ids" item="id" open="("  separatosr=","  close=")">
#{ids}
</foreach>

3、order by 之后

这种场景应当在Java层面做映射，设置一个字段/表名数组，仅允许用户传入索引值。这样保证传入的字段或者表名都在白名单里面。需要注意的是在mybatis自动生成的SQL语句中，order by使用的也是$，而like和in没有问题。