Mybatis是怎样防止SQL注入的

1. SQL注入为什么会发生？

数据库在编译SQL语句时将恶意的or，1=1等语句作为保留字段进行编译，导致查询结果不可控。

2. 什么是预编译？

实际的数据库操作场景中会存在很多执行类型SQL语句的操作，不同的是参数而已，为了减少每次都需要编译SQL的步骤，提出预编译操作，类似于将一个模板SQL进行编译并缓存下来，当再有类似的查询时就可以省去编译操作。

3.mybatis是如何避免SQL注入的？

mybatis使用了数据库的预编译机制，在构造查询SQL时使用预编译#{}而不是${}，至于二者的区别是当使用#时mybatis会对SQL语句中的查询参数使用？进行占位，然后交给数据库去预编译，在查询过程中将查询参数设置即可。而$是简单的占位符，在提交SQL时会将整个SQL提交给数据库，无法避免SQL存在注入风险。

举例：

# 使用预编译
select * from user where id = #{}

# 不使用预编译
select * from user where id = ${}

对于使用#的语句在执行前会由数据库进行预编译

select * from user where id = ?

而使用$的语句如果查询id为1的用户信息，交给数据库的SQL语句则是

select * from user where id = 1

如果SQL被恶意改写 1 or 1=1，则提交给数据库的SQL语句则变成

select * from user where id = 1 or 1=1，该语句会查询出user表内所有数据

如果使用#的语句参数被恶意改写，执行查询的SQL语句为：

select * from user where id = "1 or 1=1"，实际去查询的是id为“1 or 1=1”的用户，因此可以避免SQL注入的危害。