MyBatis底层实现（二）SQL注入之$和#

最新推荐文章于 2024-06-01 11:30:00 发布

surpass0728

最新推荐文章于 2024-06-01 11:30:00 发布

阅读量1.8k

点赞数

分类专栏： MyBatis

本文链接：https://blog.csdn.net/surpass0728/article/details/80697442

版权

本文探讨了SQL注入的概念及其攻击方式，重点讲解了在MyBatis中$和#的区别。$参与预编译，可能导致SQL注入，而#作为占位符在一定程度上能防止注入。在不同的场景下，如动态表名和字段排序，$和#的使用有所不同。文章通过示例展示了两者在防止SQL注入和动态SQL生成中的作用。

摘要由CSDN通过智能技术生成

SQL注入是一种数据库攻击手段。攻击者通过向应用程序提交恶意代码来改变原SQL语句的含义，进而执行任意SQL命令，达到入侵数据库乃至操作系统的目的。

注入类型有三种：基本类型自定义类型 Map集合类型

<select id="queryByUserName" resultMap="userResultMap" 			parameterType="String">
       select * from db_user where user_name=${username}
</select>

攻击方式：

如果攻击者能够替代username中的任意字符串，它们可以使用下面的关于username的字符串进行

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

关注关注