Druid-排查conditionDoubleConstAllow配置问题(double const condition)

已于 2023-07-19 20:54:23 修改
阅读量1.8k 收藏 1
点赞数 1
文章标签： Druid JAVA spring boot
于 2023-07-19 20:18:17 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/meimonkey/article/details/131791044
版权

Druid-排查conditionDoubleConstAllow配置问题(double const condition)

报错信息

Caused by: java.sql.SQLException: sql injection violation, dbType postgresql, druid-version 1.2.18, double const condition : SELECT * FROM test where 1=1 AND TRUE AND TRUE

关键词：double const condition
Druid进行SQL检查，发现了重复的常量条件

排查过程

编写代码复现问题

@RestController
@Slf4j
public class TestController {

    @Autowired
    private JdbcTemplate jdbcTemplate;

    @GetMapping("test")
    public String test(){
        String sql = "SELECT * FROM test WHERE 1=1 AND TRUE AND id = 1 ";
        jdbcTemplate.execute(sql);
        return "Test";
    }

}

Druid配置关键信息：wall

spring:
  datasource:
    druid:
      filters: config,wall,stat

运行错误：

java.sql.SQLException: sql injection violation, dbType postgresql, druid-version 1.2.18, part alway true condition not allow : SELECT * FROM test WHERE 1=1 AND TRUE AND id = 1 
	at com.alibaba.druid.wall.WallFilter.checkInternal(WallFilter.java:836)
	at com.alibaba.druid.wall.WallFilter.check(WallFilter.java:801)
	at com.alibaba.druid.wall.WallFilter.statement_execute(WallFilter.java:433)
	at com.alibaba.druid.filter.FilterChainImpl.statement_execute(FilterChainImpl.java:2991)
	at com.alibaba.druid.proxy.jdbc.StatementProxyImpl.execute(StatementProxyImpl.java:143)
	at com.alibaba.druid.pool.DruidPooledStatement.execute(DruidPooledStatement.java:635)
	at org.springframework.jdbc.core.JdbcTemplate$1ExecuteStatementCallback.doInStatement(JdbcTemplate.java:422)
	at org.springframework.jdbc.core.JdbcTemplate.execute(JdbcTemplate.java:381)
	at org.springframework.jdbc.core.JdbcTemplate.execute(JdbcTemplate.java:431)

通过文档 https://github.com/alibaba/druid/wiki/%E9%85%8D%E7%BD%AE-wallfilter 可以看到相关存在相关配置：conditionDoubleConstAllow , 默认为false，既不允许Where条件中有两个以上的常量。
在这里插入图片描述
接下来打开源码，搜索conditionDoubleConstAllow，找到以下线索：

  1. com.alibaba.druid.wall.WallConfig#conditionDoubleConstAllow
  2. com.alibaba.druid.spring.boot.autoconfigure.stat.DruidFilterConfiguration#wallConfig

解决方法一：将配置filters: config,wall,stat 中的wall去掉，既不进行一些防注入检查，修改有效，但安全性降低，暂不采用

解决方法二：重点关注wallConfig()方法：

    private static final String FILTER_WALL_PREFIX = "spring.datasource.druid.filter.wall";
    private static final String FILTER_WALL_CONFIG_PREFIX = FILTER_WALL_PREFIX + ".config";

    @Bean
    @ConfigurationProperties(FILTER_WALL_CONFIG_PREFIX)
    @ConditionalOnProperty(prefix = FILTER_WALL_PREFIX, name = "enabled")
    @ConditionalOnMissingBean
    public WallConfig wallConfig() {
        return new WallConfig();
    }
    
    @Bean
    @ConfigurationProperties(FILTER_WALL_PREFIX)
    @ConditionalOnProperty(prefix = FILTER_WALL_PREFIX, name = "enabled")
    @ConditionalOnMissingBean
    public WallFilter wallFilter(WallConfig wallConfig) {
        WallFilter filter = new WallFilter();
        filter.setConfig(wallConfig);
        return filter;
    }

发现可以通过配置修改WallConfig#conditionDoubleConstAllow的值，于是进行配置修改：

spring:
  datasource:
    druid:
      filters: config,wall,stat
      filter:
        wall:
          enabled: true
          config:
            condition-double-const-allow: true

测试结果：（依旧报错…）

java.sql.SQLException: sql injection violation, dbType postgresql, druid-version 1.2.18, part alway true condition not allow : SELECT * FROM test WHERE 1=1 AND TRUE AND id = 1 
	at com.alibaba.druid.wall.WallFilter.checkInternal(WallFilter.java:836)
	at com.alibaba.druid.wall.WallFilter.check(WallFilter.java:801)
	at com.alibaba.druid.wall.WallFilter.statement_execute(WallFilter.java:433)
	at com.alibaba.druid.filter.FilterChainImpl.statement_execute(FilterChainImpl.java:2991)
	at com.alibaba.druid.proxy.jdbc.StatementProxyImpl.execute(StatementProxyImpl.java:143)
	at com.alibaba.druid.pool.DruidPooledStatement.execute(DruidPooledStatement.java:635)
	at org.springframework.jdbc.core.JdbcTemplate$1ExecuteStatementCallback.doInStatement(JdbcTemplate.java:422)
	at org.springframework.jdbc.core.JdbcTemplate.execute(JdbcTemplate.java:381)
	at org.springframework.jdbc.core.JdbcTemplate.execute(JdbcTemplate.java:431)

进一步断点调试：
发现在com.alibaba.druid.spring.boot.autoconfigure.stat.DruidFilterConfiguration#wallFilter方法中，filter.setConfig(wallConfig)时，注入的wallConfig，其conditionDoubleConstAllow属性已经是true，说明配置生效了。
但还是报上述异常，继续调试分析。

    @Bean
    @ConfigurationProperties(FILTER_WALL_PREFIX)
    @ConditionalOnProperty(prefix = FILTER_WALL_PREFIX, name = "enabled")
    @ConditionalOnMissingBean
    public WallFilter wallFilter(WallConfig wallConfig) {
        WallFilter filter = new WallFilter();
        filter.setConfig(wallConfig);
        return filter;
    }

继续调试，关注方法com.alibaba.druid.wall.WallFilter#checkInternal

private WallCheckResult checkInternal(String sql) throws SQLException {
        WallCheckResult checkResult = provider.check(sql);
        List<Violation> violations = checkResult.getViolations();

        if (violations.size() > 0) {
            Violation firstViolation = violations.get(0);
            if (isLogViolation()) {
                LOG.error("sql injection violation, dbType "
                        + getDbType()
                        + ", druid-version "
                        + VERSION.getVersionNumber()
                        + ", "
                        + firstViolation.getMessage() + " : " + sql);
            }

            if (throwException) {
                if (violations.get(0) instanceof SyntaxErrorViolation) {
                    SyntaxErrorViolation violation = (SyntaxErrorViolation) violations.get(0);
                    throw new SQLException("sql injection violation, dbType "
                            + getDbType() + ", "
                            + ", druid-version "
                            + VERSION.getVersionNumber()
                            + ", "
                            + firstViolation.getMessage() + " : " + sql,
                            violation.getException());
                } else {
                    throw new SQLException("sql injection violation, dbType "
                            + getDbType()
                            + ", druid-version "
                            + VERSION.getVersionNumber()
                            + ", "
                            + firstViolation.getMessage()
                            + " : " + sql);
                }
            }
        }

        return checkResult;
    }

com.alibaba.druid.sql.ast.SQLObjectImpl#accept 方法

public final void accept(SQLASTVisitor visitor) {
        if (visitor == null) {
            throw new IllegalArgumentException();
        }

        visitor.preVisit(this);

        accept0(visitor);

        visitor.postVisit(this);
    }

com.alibaba.druid.wall.spi.WallVisitorUtils#getValue_and方法

public static Object getConditionValue(WallVisitor visitor, SQLExpr x, boolean alwayTrueCheck) {
        final WallConditionContext old = wallConditionContextLocal.get();
        try {
            wallConditionContextLocal.set(new WallConditionContext());
            final Object value = getValue(visitor, x);

            final WallConditionContext current = wallConditionContextLocal.get();
            WallContext context = WallContext.current();
            if (context != null) {
                if (current.hasPartAlwayTrue() || Boolean.TRUE == value) {
                    if (!isFirst(x)) {
                        context.incrementWarnings();
                    }
                }
            }

            if (current.hasPartAlwayTrue()
                    && !visitor.getConfig().isConditionAndAlwayTrueAllow()) {
                addViolation(visitor, ErrorCode.ALWAYS_TRUE, "part alway true condition not allow", x);
            }

            if (current.hasPartAlwayFalse()
                    && !visitor.getConfig().isConditionAndAlwayFalseAllow()) {
                addViolation(visitor, ErrorCode.ALWAYS_FALSE, "part alway false condition not allow", x);
            }

            if (current.hasConstArithmetic()
                    && !visitor.getConfig().isConstArithmeticAllow()) {
                addViolation(visitor, ErrorCode.CONST_ARITHMETIC, "const arithmetic not allow", x);
            }

            if (current.hasXor() && !visitor.getConfig().isConditionOpXorAllow()) {
                addViolation(visitor, ErrorCode.XOR, "xor not allow", x);
            }

            if (current.hasBitwise() && !visitor.getConfig().isConditionOpBitwseAllow()) {
                addViolation(visitor, ErrorCode.BITWISE, "bitwise operator not allow", x);
            }

            return value;
        } finally {
            wallConditionContextLocal.set(old);
        }
    }

发现到以下代码时，执行了addViolation

if (current.hasPartAlwayTrue()
                    && !visitor.getConfig().isConditionAndAlwayTrueAllow()) {
                addViolation(visitor, ErrorCode.ALWAYS_TRUE, "part alway true condition not allow", x);
            }

于是再次修改配置：将condition-and-alway-true-allow也改为true

spring:
  datasource:
    druid:
      filters: config,wall,stat
      filter:
        wall:
          enabled: true
          config:
            condition-and-alway-true-allow: true
            condition-double-const-allow: true

再次测试：执行成功！！！

meimonkey
关注
druid-1.2.4 jar包更新于2020年12月12日,最新的
12-14
2. **监控**：Druid内置了强大的监控统计功能，可以实时监控数据库访问性能，包括SQL执行的耗时、连接池的状态等，这对于线上问题的排查和调优至关重要。 3. **过滤器机制**：Druid支持插件化设计，通过过滤器...
Druid的double const condition
long8723710的博客
09-08 2648
问题： Druid 为避免 sql 注入当拼接的 sql 语句多于一处 1=1 时，项目报错 java.sql.SQLException: sql injection violation, double const condition : 因为sql语句的条件是拼接的，存在多个and 1=1 应该修改druid的配置： conditionDoubleConstAllow：false // 改为 true 就像文中博主说的未找到如何控制conditionDoubleConstAllow这个参数方法 原文地址
Druid Monitor监控JavaSE和JavaWeb
热门推荐
点滴成长
01-30 3万+
Druid Monitor监控JavaSE和JavaWeb
解决数据库PGSQL，在Mybatis中创建临时表报错TODO IDENTIFIER，连接池用的Druid。更换最新版本Druid仍然报错解决
最新发布
番茄Salad
07-02 458
然后我找到了Druid的配置，把全部配置都注释掉，居然可以成功的执行了。然后我一个一个配置排查发现，有个filters的配置，引起的报错，只要把这个注释了，就能成功执行，不管切换什么版本的Druid。我在navicat中尝试了一下执行相同的sql创建临时表语句，确实是能执行的。然后我又进行了一次测试，在xml中的sql创建临时表语句把TEMPORARY删除，直接创建一张物理表，确实成功的执行了。在网上搜索了一下，说把Druid版本升级到最新，我试着升级到了最新，确实不报这个错误了，又报了一个新的错误。
Druid的配置
qq_58545721的博客
09-12 982
3.# Druid监测也可以这样写。druid数据源管理。
Druid 参数配置详解
程序员子龙
06-13 4955
Java 程序很大一部分要操作数据库，为了提高性能操作数据库的时候，又不得不使用数据库连接池。Druid 是阿里巴巴开源平台上一个数据库连接池实现，结合了 C3P0、DBCP 等 DB 池的优点，同时加入了日志监控。Druid 可以很好的监控 DB 池连接和 SQL 的执行情况，天生就是针对监控而生的 DB 连接池。Druid 已经在阿里巴巴部署了超过600个应用，经过一年多生产环境大规模部署的严苛考验。
Spring boot - Druid配置以及监控界面的使用
weixin_44802870的博客
03-06 909
Spring boot - Druid配置以及监控界面的使用 1.依赖安装 <dependency> <groupId>com.alibaba</groupId> <artifactId>druid-spring-boot-starter</artifactId> </dependency> 2.application.properties配置 #druid_config #用户名 druid.login.user
druid-spring-boot-starter-1.1.9-API文档-中文版.zip
07-14
赠送jar包：druid-spring-boot-starter-1.1.9.jar； 赠送原API文档：druid-spring-boot-starter-1.1.9-javadoc.jar； 赠送源代码：druid-spring-boot-starter-1.1.9-sources.jar； 赠送Maven依赖信息文件：druid-...
druid-spring-boot-starter-1.2.8-API文档-中文版.zip
06-04
赠送jar包：druid-spring-boot-starter-1.2.8.jar； 赠送原API文档：druid-spring-boot-starter-1.2.8-javadoc.jar； 赠送源代码：druid-spring-boot-starter-1.2.8-sources.jar； 赠送Maven依赖信息文件：druid-...
druid-spring-boot-starter-1.1.22.jar
03-01
druid-spring-boot-starter-1.1.22.jar
druid-1.1.16-API文档-中文版.zip
07-09
赠送jar包：druid-1.1.16.jar； 赠送原API文档：druid-1.1.16-javadoc.jar； 赠送源代码：druid-1.1.16-sources.jar； 赠送Maven依赖信息文件：druid-1.1.16.pom； 包含翻译后的API文档：druid-1.1.16-javadoc-API...
数据库连接池Druid配置和使用
q283614346的博客
12-23 7409
druid配置信息 配置 默认值 说明 name 配置这个属性的意义在于，如果存在多个数据源，监控的时候可以通过名字来区分开来。如果没有配置，将会生成一个名字，格式是：“DataSource-” + System.identityHashCode(this) jdbcUrl 连接数据库的url username 连接数据库的用户名 password 连接数据库的...
Druid配置使用
wzx_it的专栏
09-11 283
1.添加druid依赖包 com.alibaba druid 1.0.28 2.添加数据库连接池配置 DataSource ProduceWriteDataSource() throws Exception { Properties props = new Properties(); props.put("driverClassN
Druid监控 + 多数据源配置
本郡主是喵
01-21 1712
我们定义一个切面类,负责获取我们的自定义数据源注解的值,从而在DynamicDataSource中的setDataSource() 方法,设置当前线程用的数据源。然后被determineCurrentLookupKey()方法获取到,从而切换数据源。注意在我们处理中方法的优先级比类的优先级高。
SpringBoot整合Druid使用
jiaomubai的博客
08-05 964
Druid是什么? Druid是阿里巴巴开源的一个数据源，主要用于java数据库连接池，相比spring推荐的DBCP和hibernate推荐的C3P0、Proxool数据库连接池，Druid在市场上占有绝对的优势。我在上一篇文章《SpringBoot整合JDBC使用》中提到了数据源，但是我们是在做数据库连接测试的时候打印输出了一下数据源，发现其是Hikari的。其实，SpringBoot2.0以上的版本默认的都是Hikari数据源，那么Druid与Hikari相比都有哪些优势呢。首先，Druid可以很好
Druid基本使用
Jitwxs
08-09 7482
1.相关地址项目地址 : https://github.com/alibaba/druid下载地址 : http://central.maven.org/maven2/com/alibaba/druid/wiki : https://github.com/alibaba/druid/wiki2.mavenhttp://www.mvnrepository.com/artifact/com.alibab
Druid 开启权限校验
Black Shadow
10-15 8839
Github: https://github.com/alibaba/druid D
springboot 集成 Druid
IT 工农兵
04-16 458
这里写自定义目录标题springboot 集成 DruidDruid开始使用在boot项目的配置文件中 增加Druid信息增加配置类的编写访问Druid的管理界面在监控系统中 查看数据访问信息 springboot 集成 Druid springboot 版本 2.14 Druid 版本 1.1.9 mybatis:版本 3.5.1 Druid 一款出自阿里巴巴的开源数据库连接池， 1，可以配置数...
SpringBoot（十三）整合Druid
星海IT学习之路
08-20 277
Druid简介 Java程序很大一部分要操作数据库，为了提高性能操作数据库的时候，又不得不使用数据库连接池。 Druid 是阿里巴巴开源平台上一个数据库连接池实现，结合了 C3P0、DBCP 等 DB 池的优点，同时加入了日志监控。 Druid 可以很好的监控 DB 池连接和 SQL 的执行情况，天生就是针对监控而生的 DB 连接池。 Druid已经在阿里巴巴部署了超过600个应用，经过一年多生产环境大规模部署的严苛考验。 Spring Boot 2.0 以上默认使用 Hikari 数据源，可以说 Hika
druid-spring-boot-starter maven怎么配置
05-18
要使用 `druid-spring-boot-starter`，你需要在你的 Maven 项目中添加以下依赖： ```xml <dependency> <groupId>com.alibaba</groupId> <artifactId>druid-spring-boot-starter</artifactId> <version>1.1.10</version> </dependency> ``` 然后，你可以在你的 `application.properties` 或 `application.yml` 文件中配置 `druid` 数据源。以下是一个示例： ```yaml spring: datasource: driver-class-name: com.mysql.cj.jdbc.Driver url: jdbc:mysql://localhost:3306/db_name?useUnicode=true&characterEncoding=utf8&useSSL=false&serverTimezone=UTC username: root password: yourpassword type: com.alibaba.druid.pool.DruidDataSource # 下面是 druid 配置 # 初始化时建立物理连接的个数。初始化发生在显示调用init方法，或者第一次getConnection时 initial-size: 5 # 最小连接池数量 min-idle: 5 # 最大连接池数量 max-active: 20 # 获取连接时最大等待时间，单位毫秒 max-wait: 60000 # 是否开启 PSCache pool-prepared-statements: true # 指定每个连接上 PSCache 的大小 max-pool-prepared-statement-per-connection-size: 20 # 打开removeAbandoned功能 remove-abandoned: true # 180秒，也就是3分钟 remove-abandoned-timeout: 180 # 关闭abanded连接时输出错误日志 log-abandoned: true # 监控配置 filter: # 开启监控统计功能 stat: enabled: true # 是否打印 SQL 语句 log-slow-sql: true # 慢 SQL 记录时间阈值，单位毫秒 slow-sql-millis: 5000 # 配置监控统计拦截的 URI，多个用逗号隔开 web-stat-filter: exclusions: "*.js,*.gif,*.jpg,*.png,*.css,*.ico,/druid/*" # 配置 Druid 的 StatViewServlet stat-view-servlet: url-pattern: /druid/* # IP 白名单 allow: 127.0.0.1 # IP 黑名单（共同存在时，deny优先于allow） deny: 192.168.0.1 # 登录用户名 login-username: admin # 登录密码 login-password: admin123 ``` 以上是一个基本的 `druid` 配置，你可以根据自己的实际需求进行调整。配置完成后，你就可以在代码中使用 `DataSource` 了，例如： ```java @Autowired DataSource dataSource; ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值