MySql+Mybatis+Druid：sql injection violation, multi-statement not allow

做一个批量update的操作 ，sqlmap如下：

<update id="updateBatch" parameterType="java.util.List">
		<foreach collection="list" item="item" index="index" open="" close="" separator=";">
                update device_bd_token 
                <set>
				access_token=#{item.accessToken}
                </set>
                where device_id = #{item.deviceId}
         </foreach>
	</update>

结果报错：

Caused by: java.sql.SQLException: sql injection violation, multi-statement not allow : update device_bd_token 
                 SET access_token=? 
                where device_id = ?
          ; 
                update device_bd_token 
                 SET access_token=? 
                where device_id = ?
	at com.alibaba.druid.wall.WallFilter.check(WallFilter.java:714)
	at com.alibaba.druid.wall.WallFilter.connection_prepareStatement(WallFilter.java:240)
	at com.alibaba.druid.filter.FilterChainImpl.connection_prepareStatement(FilterChainImpl.java:448)
	at com.alibaba.druid.filter.FilterAdapter.connection_prepareStatement(FilterAdapter.java:928)
	at com.alibaba.druid.filter.FilterEventAdapter.connection_prepareStatement(FilterEventAdapter.java:122)
	at com.alibaba.druid.filter.FilterChainImpl.connection_prepareStatement(FilterChainImpl.java:448)
	at com.alibaba.druid.proxy.jdbc.ConnectionProxyImpl.prepareStatement(ConnectionProxyImpl.java:342)
	at com.alibaba.druid.pool.DruidPooledConnection.prepareStatement(DruidPooledConnection.java:318)

刚开始以为是连接数据库的url上没有加上支持批量的参数，然后就改了下：

jdbc.url=jdbc:mysql://192.168.11.107:3306/alarm_db?allowMultiQueries=true&useUnicode=true&characterEncoding=UTF-8

结果还是同样的错误！但是在命令行直接执行又是没问题的，这就很奇怪了！

仔细看日志，好像是Druid的WallFilter.check()抛出来的，那就是说是Druid在做预编译的时候，给抛出的异常，还没有到mysql的服务器。

最终的解决办法是这样的：

<bean id="dataSourceOne" class="com.alibaba.druid.pool.DruidDataSource" destroy-method="close">
		<property name="proxyFilters">
			<list>
				<ref bean="stat-filter" />
				<ref bean="wall-filter"/>
			</list>
		</property>
	</bean>

<bean id="wall-filter" class="com.alibaba.druid.wall.WallFilter">
		<property name="config" ref="wall-config" />
	</bean>
	
	<bean id="wall-config" class="com.alibaba.druid.wall.WallConfig">
		<property name="multiStatementAllow" value="true" />
	</bean>

配置一个multiStatementAllow参数就可以了。

看下源码的处理：

也就是说，只要把config的multiStatementAllow设置为true就可以避免出现这样的错误了！

Druid配置的时候还有一个大坑就是，不要同时配置filters和proxyFilters，filter都是内置的，想通过proxyFilters来定制的话，就不要配置filters。

DruidDataSource继承了DruidAbstractDataSource，

可以看出来，既可以配置filters，也可以配置proxyFilters，不同的是，filters是字符串别名，proxyFilters是类。

我们继续看一下这些字符串的值应该是啥样的：

原来在这里：

这就是druid内置的所有的filter了，去掉前缀druid.filters就是别名了。