mybatis SQL注入之$和#的区别

mybatis SQL注入之$和#

目录

mybatis SQL注入之$和#

 一、在sql语句中，#可以防止被注入，$可以动态插入列名或者表名。

二、动态插入列名或表名的方便，

---

 一、在sql语句中，#可以防止被注入，$可以动态插入列名或者表名。

1.在sql中#{}是传参数的方式插入值，#{value}碧不参与bybatis的代码编译，是实际上#{value}就是自动帮我们加了双引号“” ,value =zhangsan，#{value}就是相当于“zhangsan”，#{}还会自动过滤了表名，列名等重要的名称；

2.${}是直接把数据显示到sql语句，${}是直接参与代码编译的,value =zhangsan，#{value}就是相当于zhangsan，￥{}还不会自动过滤了表名，列名等重要的名称。

被注入的危害：

看一段${}代码：

<select id="queryByUserName" resultMap="userResultMap" 			parameterType="String">
       select * from db_user where user_name=${username}
</select>

如果username传的是 zhangsan or 1=1,那么编译后的sql语句是： select * from db_user where user_name= zhangsan or 1=1,这条语句是和我们的预期完全不一样的。

二、动态插入列名或表名的方便，

 两条条语句：drop table ${name};drop table #{name};

当那么name=orgtable时，对应下来就是drop table orgtable;drop table "orgtable";只有drop table orgtable才是符合我们的预期的。这时候应该使用${}