彻底干掉恶心的SQL注入裂痕， 一扫而空！

而行使 ${} 语法时，MyBatis 会直接注入原始字符串，即相等于拼接字符串，因而会导致 SQL 注入，如 

<select id="getByName" resultType="org.example.User">  
        SELECT * FROM user WHERE name = '${name}' limit 1  
    </select> 

name 值为 ' or '1'='1，现实执行的语句为 

SELECT * FROM user WHERE name = '' or '1'='1' limit 1  

因此提议只管行使 #{}，但有些时辰，如 order by 语句，行使 #{} 会导致堕落，如

ORDER BY #{sortBy} 

sortBy 参数值为 name ，替代后会成为 

ORDER BY "name" 

即以字符串 “name” 来排序，而非凭证 name 字段排序

具体可参考: https://stackoverflow.com/a/32996866/6467552

这种环境就必要行使 ${}

ORDER BY ${sortBy} 

行使了 ${}后，行使者必要自行过滤输入，要领有：

代码层行使白名单的方法，限定 sortBy 应承的值，如只能为 name, email 字段，非常环境则配置为默认值 name

在 XML 设置文件中，行使 if 标签来举办判定

Mapper 接口要领 

List<User> getUserListSortBy(@Param("sortBy") String sortBy); 

xml 设置文件 

<select id="getUserListSortBy" resultType="org.example.User">  
     SELECT * FROM user  
     <if test="sortBy == 'name' or sortBy == 'email'">  
       order by ${sortBy}  
     </if>  
   </select> 

由于 Mybatis 不支持 else，必要默认值的环境，可以行使 choose(when,otherwise) 

<select id="getUserListSortBy" resultType="org.example.User">  
     SELECT * FROM user  
     <choose>  
       <when test="sortBy == 'name' or sortBy == 'email'">  
         order by ${sortBy}  
       </when>  
       <otherwise>  
         order by name  
       </otherwise>      
    </choose>  
   </select> 

更多场景

除了 orderby之外，尚有一些也许会行使到 ${} 环境，可以行使其他要领停止，如

like 语句

•  如必要行使通配符 ( wildcard characters % 和 _) ，可以
•  在代码层，在参数值双方加上 %，然后再行使 #{}
•  行使 bind 标签来结构新参数，然后再行使 #{}

Mapper 接口要领 

List<User> getUserListLike(@Param("name") String name); 

xml 设置文件 

<select id="getUserListLike" resultType="org.example.User">  
       <bind name="pattern" value="'%' + name + '%'" />  
       SELECT * FROM user  
       WHERE name LIKE #{pattern}  
   </select> 

<bind> 语句内的 value 为 OGNL expression

详细可参考 :

http://www.mybatis.org/mybatis-3/dynamic-sql.html

（编辑：湖南网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!