代码扫描Mybatisxml中$sql注入问题处理

背景

代码安全扫描认为mybatis xml文件中的${}，有sql注册风险。

解决

方案1

将xml中的$替换为其他服务，不让扫描出俩。

1.如将${}替换为##{}

<select id="getUserInfov2" resultType="hashmap">
         select ##{field} from  id_t_user_base where id=#{userId}
 </select>

<select id="getUserInfov3" resultType="hashmap">
        select * from  id_t_user_base where ##{ew.sqlSegment}
</select>

2.重写mybtais源码TextSqlNode,动态参数解析器源码,将${替换为##{

org.apache.ibatis.scripting.xmltags.TextSqlNode核心修改代码如下

private GenericTokenParser createParser(TokenHandler handler) {
   return new GenericTokenParser("##{", "}", handler);
}

3.进行功能验证

方案2

参考知乎提供的方案，使用BeanPostPorcessor进行处理。

https://zhuanlan.zhihu.com/p/652639385