Mybatis检查SQL注入

最新推荐文章于 2024-07-09 19:10:54 发布

转载最新推荐文章于 2024-07-09 19:10:54 发布 · 580 阅读

0 ·

CC 4.0 BY-SA版权

原文链接：http://www.cnblogs.com/mysticbinary/articles/10284623.html

文章标签：

#java #网络 #开发工具

Mybatis的#{ }和${ }的由来
如何排查出
- 1. 检查是否有$号
- 2. 检查是否有order by
为什么#{ }就安全
什么情况下用不了#{}
- 先复习一下order by的用法：
一些深入的建议

Mybatis的#{ }和${ }的由来

Mybatis的Mapper.xml语句中parameterType向SQL语句传参有两种方式：#{ }和${ }。

使用#{ }来防止SQL注入，使用${ }来动态拼接参数。

如何排查出

1. 检查是否有$号

如果你使用的是IDEA，那么通过快捷键Ctrl+Shift+R打开窗口，通过全局搜索${ , 快速定位到使用${  }拼接SQL的语句，在去找到外部传入参数的入口，闭合sql证明即可。

2. 检查是否有order by

同样的在搜索是否使用order by 排序语句，如果有一步一步追踪是否有外部参数，未过滤就直接传递到order by语句里面来。

为什么#{ }就安全

#{ } 就类似JDBC的预编译，所以安全。类似如下SQL语句，只是类似啊，JDBC的预编译原理我不是很懂，希望后面能专门去研究一番，并写博文。

使用 ${ }效果是:

select * from testtable where id="1" or true or id  # 1后面就是被攻击者恶意构造的字符

而使用#{ } 的效果是:

select * from testtable where id="1\" or true or id\""         # 1后面就是被攻击者恶意构造的字符

什么情况下用不了#{}

order by 排序情况不行。为什么？

先复习一下order by的用法：

order by就是一个排序的工具，跟我读一遍：“order by就是一个排序的工具”。

# 这个1就是指第一个列索引，也可以写id （列索引）
select * from testtable ORDER BY 1 ASC #ASC表示按升序排序,DESC表示按降序排序
# 两个代码是一样的
select * from testtable ORDER BY id ASC #ASC表示按升序排序,DESC表示按降序排序

对于order by 我们是用不了#{}的，因为用了这个就会被自动转换成字符串，自动加引号，这样语句就不生效了。

<select id="selectStudentsByName" resultType="Student">
    select id,name,age,score from student order by #{column}
</select>
<!--编译出来的结果如下：-->
select * from table order by 'column'

会发现加上“” 双引号符号后，就没法正常排序了。