背景
代码安全扫描认为mybatis xml文件中的${},有sql注册风险。
解决
方案1
将xml中的$
替换为其他服务,不让扫描出俩。
1.如将${}
替换为##{}
<select id="getUserInfov2" resultType="hashmap">
select ##{field} from id_t_user_base where id=#{userId}
</select>
<select id="getUserInfov3" resultType="hashmap">
select * from id_t_user_base where ##{ew.sqlSegment}
</select>
2.重写mybtais源码TextSqlNode
,动态参数解析器源码,将${
替换为##{
org.apache.ibatis.scripting.xmltags.TextSqlNode
核心修改代码如下
private GenericTokenParser createParser(TokenHandler handler) {
return new GenericTokenParser("##{", "}", handler);
}
3.进行功能验证
方案2
参考知乎提供的方案,使用BeanPostPorcessor进行处理。
https://zhuanlan.zhihu.com/p/652639385