关闭

mybatis是如何防止SQL注入的

6464人阅读 评论(2) 收藏 举报
分类:
SQL注入是一种很简单的攻击手段,但直到今天仍然十分常见。究其原因不外乎:No patch for stupid。为什么这么说,下面就以JAVA为例进行说明:

假设数据库中存在这样的表:
table user(
id	 varchar(20)	PRIMARY KEY ,		
name     varchar(20)	  	    ,
age	 varchar(20)	  	   );



然后使用JDBC操作表:
private String getNameByUserId(String userId) {
    Connection conn = getConn();//获得连接
    String sql = "select name from user where id=" + userId;
    PreparedStatement pstmt =  conn.prepareStatement(sql);
    ResultSet rs=pstmt.executeUpdate();
    ......
}

上面的代码经常被一些开发人员使用。想象这样的情况,当传入的userId参数为"3;drop table user;"时,执行的sql语句如下:
select name from user where id=3; drop table user;

数据库在编译执行之后,删除了user表。瞧,一个简单的SQL注入攻击生效了!之所以这样,是因为上面的代码没有符合编程规范。

当我们按照规范编程时,SQL注入就不存在了。这也是避免SQL注入的第一种方式:预编译语句,代码如下:
               Connection conn = getConn();//获得连接
    	       String sql = "select name from user where id= ?";
    	       PreparedStatement pstmt = conn.prepareStatement(sql);
    	       pstmt.setString(1, userId);
    	       ResultSet rs=pstmt.executeUpdate();
    	       ......

为什么上面的代码就不存在SQL注入了呢?因为使用了预编译语句,预编译语句在执行时会把"select name from user where id= ?"语句事先编译好,这样当执行时仅仅需要用传入的参数替换掉?占位符即可。而对于第一种不符合规范的情况,程序会先生成sql语句,然后带着用户传入的内容去编译,这恰恰是问题所在。

除了使用预编译语句之外,还有第二种避免SQL注入攻击的方式:存储过程。存储过程(Stored Procedure)是一组完成特定功能的SQL语句集,经编译后存储在数据库中,用户通过调用存储过程并给定参数(如果该存储过程带有参数)就可以执行它,也可以避免SQL注入攻击

               Connection conn = getConn();
    	       stmt = conn.prepareCall("{call name_from_user(?,?)}");  
    	       stmt.setInt(1,2);  
    	       stmt.registerOutParameter(2, Types.VARCHAR);  
    	       stmt.execute();  
    	       String name= stmt.getString(2); 
 


上面的代码中对应的存储过程如下:
use user;
delimiter //
create  procedure name_from_user(in user_id int,out user_name varchar(20))
begin
	select name into user_name from user where id=user_id;
end
//
delimiter ;


当然用户也可以在前端做字符检查,这也是一种避免SQL注入的方式:比如对于上面的userId参数,用户检查到包含分号就提示错误。
不过,从最根本的原因看,SQL注入攻击之所以存在,是因为app在访问数据库时没有使用最小权限。想来也是,大家好像一直都在使用root账号访问数据库。

那么mybatis是如何避免sql注入攻击的呢?还是以上面的表user为例:
假设mapper文件为:
<select id="getNameByUserId" resultType="String">
		SELECT name FROM user where id = #{userId}
</select>


对应的java文件为:
public interface UserMapper{
	String getNameByUserId(@Param("userId") String userId);
}

可以看到输入的参数是String类型的userId,当我们传入userId="34;drop table user;"后,打印的语句是这样的:
select name from user where id = ?


不管输入何种userID,他的sql语句都是这样的。这就得益于mybatis在底层实现时使用预编译语句。数据库在执行该语句时,直接使用预编译的语句,然后用传入的userId替换占位符?就去运行了。不存在先替换占位符?再进行编译的过程,因此SQL注入也就没有了生存的余地了。

那么mybatis是如何做到sql预编译的呢?其实框架底层使用的正是PreparedStatement类。PreparedStaement类不但能够避免SQL注入,因为已经预编译,当N次执行同一条sql语句时,节约了(N-1)次的编译时间,从而能够提高效率。

如果将上面的语句改成:
<select id="getNameByUserId" resultType="String">
		SELECT name FROM user where id = ${userId}
</select>
当我们输入userId="34;drop table user;"后,打印的语句是这样的:
select name from user where id = 34;drop table user;


此时,mybatis没有使用预编译语句,它会先进行字符串拼接再执行编译,这个过程正是SQL注入生效的过程。
因此在编写mybatis的映射语句时,尽量采用“#{xxx}”这样的格式。若不得不使用“${xxx}”这样的参数,要手工地做好过滤工作,来防止sql注入攻击。


3
0
查看评论
发表评论
* 以上用户言论只代表其个人观点,不代表CSDN网站的观点或立场

mybatis中#{}与${}的差别(如何防止sql注入)

默认情况下,使用#{}语法,MyBatis会产生PreparedStatement语句中,并且安全的设置PreparedStatement参数,这个过程中MyBatis会进行必要的安全检查和转义。 ...
  • u013417227
  • u013417227
  • 2017-04-24 14:42
  • 1083

mybatis 3如何防止SQL注入

现在互联网时代,安全一直是一个长久不衰话题,我们经常用到各种各样的架构,模式,但我们最基础的还是要和数据库打交道,数据才是王道,所以,经常有很多盗取数据之人,故对数据的安全尤为重要。 在平常中,最常...
  • wankwan
  • wankwan
  • 2015-10-06 10:27
  • 1725

MyBatis 防止 % _ sql 注入攻击 解决方法

首先说思路,在mybatis中防止sql注入,目前只能在Controller层进行转义,后台sql进行查询,然后在controller层转义回来,返回到前台。 理论上应该可以在dao.xml...
  • RobertTony_Java
  • RobertTony_Java
  • 2016-04-28 10:37
  • 2758

MyBatis如何防止SQL注入

SQL注入是一种代码注入技术,用于攻击数据驱动的应用,恶意的SQL语句被插入到执行的实体字段中 SQL注入,大家都不陌生,是一种常见的攻击方式。攻击者在界面的表单信息或URL上输入一些奇怪的SQL片段...
  • fmwind
  • fmwind
  • 2017-03-01 16:49
  • 1284

mybatis 防止sql注入的原理

mybatis sql java db
  • zenghb
  • zenghb
  • 2016-03-24 13:41
  • 1784

mybatis中的#和$的区别 以及 防止sql注入

声明:这是转载的。 mybatis中的#和$的区别 1. #将传入的数据都当成一个字符串,会对自动传入的数据加一个双引号。如:order by #user_id#,如果传入的值是111,那么解析成...
  • bruce_sky
  • bruce_sky
  • 2015-05-26 14:08
  • 7441

mybatis如何防止sql注入

mybatis如何防止sql注入 sql注入大家都不陌生,是一种常见的攻击方式,攻击者在界面的表单信息或url上输入一些奇怪的sql片段,例如“or ‘1’=’1’”这样的语句,有可能入侵参数校验不足...
  • wangxin1982314
  • wangxin1982314
  • 2016-01-05 13:11
  • 1243

java持久层框架mybatis如何防止sql注入

sql注入大家都不陌生,是一种常见的攻击方式,攻击者在界面的表单信息或url上输入一些奇怪的sql片段,例如“or ‘1’=’1’”这样的语句,有可能入侵参数校验不足的应用程序。所以在我们的应用中需要...
  • shasiqq
  • shasiqq
  • 2015-07-08 15:23
  • 1675

Mybatis框架下SQL注入漏洞处理

来源:http://www.open-open.com/lib/view/open1474963603800.html            http://mp.weixin.qq.com/s?__...
  • aosica321
  • aosica321
  • 2017-02-23 16:33
  • 444

myBatis的SQL注入问题

sqlMap中尽量不要使用$;$使用的是Statement(拼接字符串),会出现注入问题。#使用的是PreparedStatement(类似于预编译),将转义交给了数据库,不会出现注入问题;.前者容易...
  • u013615806
  • u013615806
  • 2015-05-30 22:03
  • 884
    个人资料
    • 访问:141483次
    • 积分:1679
    • 等级:
    • 排名:千里之外
    • 原创:139篇
    • 转载:10篇
    • 译文:0篇
    • 评论:36条
    最新评论