Mybatis是这样防止sql注入的

最新推荐文章于 2024-09-14 16:48:23 发布

K'illCode

最新推荐文章于 2024-09-14 16:48:23 发布

阅读量457

点赞数

分类专栏： Java框架文章标签： SQL注入

本文链接：https://blog.csdn.net/dome_/article/details/103948473

版权

本文介绍了SQL注入的概念及危害，并详细阐述了Mybatis如何通过#符号防止SQL注入，解释了#与$的区别。虽然$可能导致安全隐患，但在某些动态查询场景中仍有其必要性。Mybatis防止SQL注入的原理是利用PreparedStatement进行预处理。

摘要由CSDN通过智能技术生成

Mybatis这个框架在日常开发中用的很多，比如面试中经常有一个问题：$和#的区别，它们的区别是使用#可以防止SQL注入，今天就来看一下它是如何实现SQL注入的。

什么是SQL注入

在讨论怎么实现之前，首先了解一下什么是SQL注入，我们有一个简单的查询操作：根据id查询一个用户信息。

它的sql语句应该是这样：select * from user where id = 。

我们根据传入条件填入id进行查询。

如果正常操作，传入一个正常的id，比如说2，那么这条语句变成

select * from user where id =2。

这条语句是可以正常运行并且符合我们预期的。

但是如果传入的参数变成'' or 1=1，这时这条语句变成select * from user where id = '' or 1=1。

让我们想一下这条语句的执行结果会是怎么？

它会将我们用户表中所有的数据查询出来，显然这是一个大的错误。这就是SQL注入。

在开头讲过，可以使用#来防止SQL注入，它的写法如下：

<select id="safeSelect" resultMap="testUser">
   SELECT * FROM user where id = #{id}
</select>

关注

专栏目录