java ibatis 被 sql 注入了

java 被sql注入了，真的很悲剧，而且用的ibatis

 

 

主要原因是因为是用$$传递参数，才搜索了下项目这种地方太多。

 

这种东西应该不运行使用的，其实今天我第一次才知道可以用$$，

 

 

唉,这么多年写程序重来没这样过，现在项目老大不说话，我显的很自作聪明的感觉

 

我一直都是强烈反对这样的，让字符串++生成sql都滚蛋把！！！！

 

 

ibatis就应该把这种功能关闭！不应该开发支持这样做，我一直做的框架都是拒绝这样的方式，

 

 

其实实在是没办法就把'过滤成''就ok了，我也讨厌那种字符串过滤方案，有意义嘛，

 

 

asp走过来的人都晓得把