1.mybatis源码(1)-一条sql语句中占位符既有#{}也有${} 会不会存在注入的问题

最新推荐文章于 2023-10-23 10:15:42 发布
最新推荐文章于 2023-10-23 10:15:42 发布
阅读量368 收藏 2
点赞数 1
分类专栏： 14_Mybatis源码系列 文章标签： java sql
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_34928026/article/details/109956191
版权

在这里插入图片描述

本文测试的表数据(这只是该表部分数据)

image-20201122112035950
在这里插入图片描述

StudentMapper.java

@Mapper
public interface StudentMapper {

    List<Student> getByName(@Param("stu") Student student);
}

先分析一条sql语句的占位符全是#{}的情况

mapper.xml查询语句

<select id="getByName" resultType="com.kkb.pojo.Student" parameterType="com.kkb.pojo.Student">
    SELECT
        id as id,
        `name` as name,
        age as age,
        sex as sex
    FROM
        student
    WHERE
    `name` = #{stu.name}
</select>

单元测试：

@RunWith(SpringRunner.class)
@SpringBootTest
public class ApplicationTests {
    @Test
    public void getByNameTest() {
        Student student = new Student();
        student.setName("'' or 1=1 or name=''");
        List<Student> byName = studentService.getByName(student);
        System.out.println(JSON.toJSONString(byName));
    }
}

源码执行的过程：

org.apache.ibatis.executor.SimpleExecutor#doQuery

​ —>org.apache.ibatis.executor.SimpleExecutor#prepareStatement

​ —>org.apache.ibatis.executor.statement.StatementHandler#prepare

​ —>org.apache.ibatis.executor.statement.BaseStatementHandler#prepare

​ —>org.apache.ibatis.executor.statement.PreparedStatementHandler#instantiateStatement

在这里插入图片描述

观察执行的sql

如图：最终是在PreparedStatementHandler#instantiateStatement方法中通过connection.prepareStatement(sql)来执行boundSql.getSql()得到的sql语句:

在这里插入图片描述

SELECT
    id as id,
    `name` as name,
    age as age,
    sex as sex
FROM
	student
WHERE
	`name` = ?

最终执行的sql：

在这里插入图片描述

SELECT id as id, `name` as name, age as age, sex as sex
 FROM student
 WHERE `name` = '' or 1=1 or name='';

执行的结果：

在这里插入图片描述

  • 按道理，sql的条件里面有or 1=1 会导致将上面的表里面的所以数据查询出来，但是这里没有，这里查询的结果是没有一条符合这个sql查询条件的记录，这是为什么呢？

  • 个人的理解是因为入参的占位符用的是#{}，导致前面的代码org.apache.ibatis.executor.statement.PreparedStatementHandler#instantiateStatement通过boundSql.getSql();拿到的sql是将#{}占位符替换为问号的"?"，然后通过prepareStatement对象对这个sql进行预编译(预编译代表这个sql的结构已经编译固定了，后面再填充进来的sql关键字不会当做sql的关键字处理，而是普通的字符串值)，最终参数填充只是作为值来替换掉问号"?". 所以，这里的name条件设置的是name='' or 1=1 or name='', 但其中的or 1=1不会当做被当or条件处理，它只是不同的字符串值。在这个表中，因为没有name='' or 1=1 or name=''的记录，所以查询的结果没有数据。

  • 可以看出通过使用#{}作为参数的占位符时，会先将sql中#{}的占位符替换为问好"?",然后通过prepareStatement对象对sql进行预编译，最后用其他过程来填充入参。因此可以知道使用#{}作为占位符的参数不会出现sql注入的问题。

看一下这里的connection和Statement对象

  • 可以看出connection是一个代理对象，而它的h属性是ConnectionLogger，并且h属性中的connection属性的对象是DruidPooledConnection，这是因为我这个项目里面用的数据库连接池是阿里的druid，所以这里的connection最终是DruidPooledConnection这个连接池里面的connection。

在这里插入图片描述

扯一点题外话，通常以$ProxyXxx开头的类基本上就知道这个类是通过JDK动态代理运行时动态编译出来的代理类的对象，而这个对象中的h属性肯定是InvocationHandler接口的实现类，而这里的ConnectionLogger里面的connection属性我认为就是$Proxy100@7151代理对象代理的目标对像。

在这里插入图片描述
在这里插入图片描述

分析一条sql语句的占位符全是${}的情况

mapper.xml查询语句

  • 占位符改为${}
<select id="getByName" resultType="com.kkb.pojo.Student" parameterType="com.kkb.pojo.Student">
    SELECT
        id as id,
        `name` as name,
        age as age,
        sex as sex
    FROM
        student
    WHERE
    `name` = ${stu.name}
</select>

单元测试：

@RunWith(SpringRunner.class)
@SpringBootTest
public class ApplicationTests {
    @Test
    public void getByNameTest() {
        Student student = new Student();
        student.setName("'' or 1=1 or name=''");
        List<Student> byName = studentService.getByName(student);
        System.out.println(JSON.toJSONString(byName));
    }
}

源码执行的过程(和上述一样)：

org.apache.ibatis.executor.SimpleExecutor#doQuery

​ —>org.apache.ibatis.executor.SimpleExecutor#prepareStatement

​ —>org.apache.ibatis.executor.statement.StatementHandler#prepare

​ —>org.apache.ibatis.executor.statement.BaseStatementHandler#prepare

​ —>org.apache.ibatis.executor.statement.PreparedStatementHandler#instantiateStatement

在这里插入图片描述

观察执行的sql

在这里插入图片描述

  • 从这里就可以看出占位符使用${}和#{}的区别：用#{}的话，就是先将占位符#{}替换为问号"?",然后使用prepareStatement对带有问号的sql进行预编译，最后参数填充执行最终的sql。而用${}的话，则会直接将参数替换${}占位符，然后直接通过prepareStatement执行参数填充后的sql。

  • #{}：会先通过prepareStatement预编译sql，再进行参数填充，执行最终的sql。

  • ${}：会直接用参数替换${}占位符，然后用prepareStatement执行参数填充后的sql，该过程没有sql语句的预编译。所以这里使用${}占位符，会存在sql注入的问题，因为name值里面注入了or 1=1，所以会导致所以的数据被查询出来。

最终执行的sql

在这里插入图片描述

SELECT id as id, `name` as name, age as age, sex as sex
 FROM student
 WHERE `name` = ''or 1=1 or name='';

执行结果

  • 从图中可以看到查询的结果是1000573行记录。证实了${}会导致sql注入的问题。
    在这里插入图片描述
    在这里插入图片描述

看一下这里的connection和Statement对象

  • 这里和上面#{}占位符的情况一样

在这里插入图片描述

分析一条sql语句的占位符同时包含${}和#{}的情况

mapper.xml查询语句

<select id="getByName" resultType="com.kkb.pojo.Student" parameterType="com.kkb.pojo.Student">
    SELECT
        id as id,
        `name` as name,
        age as age,
        sex as sex
    FROM
    	student
    WHERE
    	`name` = ${stu.name}
    	and age = #{stu.age}
 </select>

单元测试

@RunWith(SpringRunner.class)
@SpringBootTest
public class ApplicationTests {
    @Test
    public void getByNameTest() {
        Student student = new Student();
        student.setName("'' or 1=1 or name=''");
        student.setAge(1);
        List<Student> byName = studentService.getByName(student);
        System.out.println(JSON.toJSONString(byName));
    }
}

源码执行过程

org.apache.ibatis.executor.SimpleExecutor#doQuery

​ —>org.apache.ibatis.executor.SimpleExecutor#prepareStatement

​ —>org.apache.ibatis.executor.statement.StatementHandler#prepare

​ —>org.apache.ibatis.executor.statement.BaseStatementHandler#prepare

​ —>org.apache.ibatis.executor.statement.PreparedStatementHandler#instantiateStatement

在这里插入图片描述

观察执行的sql

  • 可以看出当一条sql里面的占位符#{}和${}都存在时，#{}占位符依然会被问号"?“替换，${}占位符则直接被入参替换，然后通过prepareStatement对象对sql预编译，最后用对应的参数替换问号”?"，因此得出的结论是：[当一条sql里面的占位符#{}和${}都存在时，#{}作为占位符的入参不会导致sql注入的问题，而${}作为占位符的入参依然会导致sql注入的问题]
    在这里插入图片描述
SELECT
    id as id,
    `name` as name,
    age as age,
    sex as sex
FROM
	student
WHERE
	`name` = ''or 1=1 or name=''
	and age = ?

最终执行的sql

在这里插入图片描述

SELECT id as id, `name` as name, age as age, sex as sex
 FROM student
 WHERE `name` = ''or 1=1 or name='' and age = 1;

执行的结果

在这里插入图片描述

看一下这里的connection和Statement对象

  • 这里和上面#{}占位符的情况一样

在这里插入图片描述

解惑

通过这次的研究也纠正了我之前的错误理解。

之前我的理解是：

  • 通过${}作为占位符的话，sql就是通过Statement对象来处理sql的
  • 通过#{}作为占位符的话，sql就是通过PrePareStatement对象来处理sql的

现在知道这样理解是错误的，其实它都是通过PrePareStatement来处理sql的，只是如果参数的占位符是#{}的话，则这个参数在预编译的时候是用问号"?"替换了#{}占位符；如果参数的占位符是${}的话，则这个参数在预编译的时候是用参数的值替换了${}占位符，然后最终预编译之后，再用原来#{}占位符上的参数值来填充对应的参数。所以#{}不会有sql注入的问题，而${}会有sql注入的问题。

在路上_蜗牛
关注
  • 1
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
【Mybatis架构】Mapper映射文件中的#{}与${}
JavaNotes的博客
05-15 286
https://www.cnblogs.com/DoubleEggs/p/6243235.html
Mybatis 中 $ 和 #千万不要乱用
嘻哈熊的专栏
03-13 1049
开头 这是一次代码优化过程中发现的问题，在功能优化后发现部分数据查不到出来了，问题就在于一条 sql 上的 #和 $。 下图为两条 sql： 从图上可以看出 wwlr.LabelId in(${showLabels}) 和 wwlr.LabelId in(#{showLabels})，其中 showLabels 是传进来一个字符串类型的参数，参数的样子是这样的 “4,44,514”，问题就出在这个参数传进来后 #和 $ 处理的方式是不一样的。 区别 1、#{} 是预编译处理，MyBatis 在处理 #{}
mybatis 多字段in_mybatis使用foreach语句实现IN查询(三种)
weixin_39921224的博客
01-27 2793
foreach语句中， collection属性的参数类型可以使：List、数组、map集合collection： 必须跟mapper.java中@Param标签指定的元素名一样item ： 表示在迭代过程中每一个元素的别名，可以随便起名，但是必须跟元素中的#{}里面的名称一样。index ：表示在迭代过程中每次迭代到的位置(下标)open ：前缀， sql语句中集合都必须用小括号()括起来clo...
在mybatis中#｛｝与$｛｝的区别，以及一条sql中同时使用出现${}和#{}会出现的问题
qq_49721447的博客
07-30 3467
先来看两个例子，假设在数据库中有一个name字段，它的类型是varchar，当通过这个字段进行查询语句时，在xml文件中可以使用where name=#｛name｝或者where name = "${name}"。 假设在数据库中有一个id字段，它的类型是int，当通过这个字段进行查询语句时，在xml文件中可以使用where id=#{id｝或者where id = ${id}。 在这两个例子中，我们可以看到#｛｝没有加双引号，$｛｝在string类型的时候加了双引号。通过尝试多种数据类型后，总结发现
mybatis $与#的使用
你当像鸟飞往你的山~~
05-13 230
mybatis $与#的使用 #使用，通过id查询并指定了id类型，不指定默认string <select id="findCountByObjId" parameterType="java.lang.Long" resultType="Integer"> select count(*) from evaluate_t_obj where evaluate_id = #{id,jdbcType=BIGINT} </select> $使用,自定义了一个条件的语句.
Mybatis下动态sql中##和$$的区别讲解
08-26
在Mybatis中，动态SQL是一种强大特性，能够根据不同的输入参数生成不同的SQL语句。在Mybatis中，使用Mapper.xml文件来定义SQL语句，并使用#{ }和${ }来传递参数。那么，在Mybatis下动态sql中##和$$的区别是什么呢？ ...
mybatis-3.5.9 源码（mybatis-3-mybatis-3.5.9.zip）
02-07
- ParameterHandler 负责将 Java 对象的参数映射到 SQL 语句中的参数占位符。它会根据参数类型是基本类型还是 Map 或者是 Java 对象来处理。 5. **ResultSetHandler 结果集处理器** - ResultSetHandler 处理 SQL ...
详解Mybatis框架SQL防注入指南
08-18
Mybatis框架是一个流行的Java持久层框架，它允许开发者直接编写SQL语句，提供灵活的数据访问。然而，这种灵活性也带来了安全风险，特别是SQL注入。SQL注入是一种常见的Web应用程序安全漏洞，攻击者可以通过输入恶意...
浅谈Mybatis #和$区别以及原理
08-18
Mybatis是一款流行的持久层框架，它提供了两个占位符：#和$，它们均用于参数化SQL语句，但是它们的作用和原理却有所不同，本文将详细介绍这两者的区别和原理。 #和$的区别 在Mybatis中，#和$都是占位符，但是它们...
mybatis-3-mybatis-3.4.1源码
08-24
4. **ParameterHandler**：处理输入参数，将Java对象转换为数据库可识别的参数，可以是JDBC的占位符，也可以是动态SQL中的表达式。 5. **ResultHandler**：处理查询结果，将ResultSet转换为Java对象。MyBatis提供了...
MyBatis中#{}和${}
weixin_46155048的博客
10-28 3823
在MyBatis中有两种动态传递参数的方式#{}，${} #{}：占位符 KaTeX parse error: Expected 'EOF', got '#' at position 9: {}：拼接符 #̲{}是预编译，{}是字符串拼接 变量替换后#{}会自动加上单引号，${}不会加上单引号 #{}能防止sql注入 ${}不能防止sql注入 #{} 和 KaTeX parse error: Expected 'EOF', got '#' at position 20: …实例：假设传入参数为 1
mybatis的${}存在的危险sql注入问题
weixin_42765975的博客
11-23 1815
参考文献 什么是sql预编译 sql 预编译指的是数据库驱动在发送 sql 语句和参数给 DBMS 之前对 sql 语句进行编译，这样 DBMS 执行 sql 时，就不需要重新编译。 预编译阶段可以优化 sql 的执行。 预编译之后的 sql 多数情况下可以直接执行，DBMS 不需要再次编译，越复杂的sql，编译的复杂度将越大，预编译阶段可以合并多次操作为一个操作。 {}与${}的区别： #相当于...
Mybatis从0到1 SQL注入 参数占位符 XML配置 动态SQL
我亦无他，唯手熟尔
07-10 1258
预编译SQL有两个优势：性能更高更安全(防止SQL注入)性能更高：预编译SQL，编译一次之后会将编译后的SQL语句缓存起来，后面再次执行这条语句时，不会再次编译。（只是输入的参数不同）将敏感字进行转义，保障SQL的安全性。在页面原型中，列表上方的条件是动态的，是可以不传递的，也可以只传递其中的1个或者2个或者全部。而在我们刚才编写的SQL语句中，我们会看到，我们将三个条件直接写死了。如果页面只传递了参数姓名name 字段，其他两个字段 性别 和 入职时间没有传递，那么这两个参数的值就是null。
myBatis-plus sql中in的用法
ID-Tang的博客
02-25 5629
示例： @Select("<script>" + "SELECT * FROM node mn " + "WHERE n.state IN " + "<foreach item = 'state' collection = 'states' index = 'index' open = '(' separator = ',' close = ')'>" + "#{state}" +
sql中in后面使用占位符（转载）
qq_35241831的博客
03-30 1929
select * from table where id in ? : 这种形式报错 select * from table where id in (?) 这种形式只能查询第一条 改用 select * from table whereFIND_IN_SET(id,?) 完美解决 ...
sql语句使用in条件查询时结果为多个mybatis返回一个的问题分析
he_xin2009的专栏
07-13 766
sql语句使用in条件查询时结果为多个mybatis返回一个的问题分析
【安全】mybatis中#{}和${}导致sql注入问题及解决办法
最新发布
漆黑梦工厂
10-23 3260
使用mybatis的时候遇到了#{}和${}可能导致sql注入的问题。
彻底搞懂MyBaits中#{}和${}的区别
緑水長流*z
07-11 2万+
MyBatis的`#{}`之所以能够预防SQL注入是因为底层使用了`PreparedStatement`类的`setString()`方法来设置参数，此方法会获取传递进来的参数的每个字符，然后进行循环对比，如果发现有敏感字符（如：单引号、双引号等），则会在前面加上一个`'/'`代表转义此符号，让其变为一个普通的字符串，不参与SQL语句的生成，达到防止SQL注入的效果。 **其次`${}`本身设计的初衷就是为了参与SQL语句的语法生成**，自然而然会导致SQL注入的问题（不会考虑字符过滤问题）。
mybatis中的#和$的区别
热门推荐
kobi521的专栏
11-25 11万+
1. #将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。如：order by #user_id#，如果传入的值是111,那么解析成sql时的值为order by "111", 如果传入的值是id，则解析成的sql为order by "id". 　　 2. $将传入的数据直接显示生成在sql中。如：order by $user_id$，如果传入的值是111,那么解析成sql时的
mybatis中的$和#占位符区别，sql注入怎么解决？
06-12
MyBatis中的#{}和${}都是用于占位符的，但是它们的作用有所不同。 #{}用于预编译参数，它会将参数值转义后再拼接到SQL语句中，可以有效防止SQL注入攻击。 ${}用于拼接SQL语句，它会将参数值原封不动地拼接到SQL...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值