防止SQL注入

SQL注入：是通过操作输入的数据来修改事先定义好的SQL语句，以达到执行代码对服务器进行攻击的方法。

由于没有对用户输入进行充分检查，而SQL又是拼接而成，在用户输入参数时，在参数中添加一些SQL关键字，达到改变SQL运行结果的目的，也可以完成恶意攻击。

 

发现竟然能够登录成功：

以上操作为什么能够登录成功呢？

• 由于没有对用户输入内容进行充分检查，而SQL又是字符串拼接方式而成，在用户输入参数时，在参数中添加一些SQL关键字，达到改变SQL运行结果的目的，从而完成恶意攻击。

以上操作SQL语句的执行：

把整个' or '1'='1作为一个完整的参数，赋值给第2个问号（' or '1'='1进行了转义，只当做字符串使用）

在Mybatis中提供的参数占位符有两种：${...} 、#{...}

• #{...}

  • 执行SQL时，会将#{…}替换为?，生成预编译SQL，会自动设置参数值

  • 使用时机：参数传递，都使用#{…}

• ${...}

  • 拼接SQL。直接将参数拼接在SQL语句中，存在SQL注入问题

  • 使用时机：如果对表名、列表进行动态设置时使用

注意事项：在项目开发中，建议使用#{...}，生成预编译SQL，防止SQL注入安全。