Mybatis小记（1）——如何防止SQL注入攻击

1.什么是SQL（Structured Query Language）注入攻击

2.mybatis程序的验证

2018-02-05 16:23:03.191 | U7q5.null | DEBUG | http-nio-8081-exec-4 | BaseJdbcLogger.java:159 | ==>  Preparing: SELECT id_ AS id,userinfo_id AS userinfoId,user_name AS userName,pwd,is_deleted AS isDeleted,created_at AS createdAt,created_by AS createdBy,updated_at AS updatedAt,updated_by AS updatedBy,description,"status" FROM system_user_login WHERE (user_name = ? AND pwd = ?) 
2018-02-05 16:23:03.191 | U7q5.null | DEBUG | http-nio-8081-exec-4 | BaseJdbcLogger.java:159 | ==> Parameters:  '' or '1'='1'(String),  '' or '1'='1'(String)
2018-02-05 16:23:03.207 | U7q5.null | DEBUG | http-nio-8081-exec-4 | BaseJdbcLogger.java:159 | <==      Total: 0

从日志中我们可以看出基于mybatis的登录程序并没有被攻击成功，这是为什么呢？

3.为什么Mybatis能够防止SQL注入攻击

mybatis框架作为一款半自动化的持久层框架，其sql语句都要我们自己来手动编写，这个时候当然需要防止sql注入。其实Mybatis的sql是一个具有“输入+输出”功能，类似于函数的结构，如下：

<select id=“getBlogById“ resultType=“Blog“ parameterType=”int”><br>
       select id,title,author,content from blog where id=#{id}
</select>

这里，parameterType标示了输入的参数类型，resultType标示了输出的参数类型。回应上文，如果我们想防止sql注入，理所当然地要在输入参数上下功夫。上面代码中高亮部分即输入参数在sql中拼接的部分，传入参数后，打印出执行的sql语句，会看到sql是这样的：

select id,title,author,content from blog where id = ?

不管输入什么参数，打印出的SQL都是这样的。这是因为mybatis启用了预编译功能，在sql执行前，会先将上面的SQL发送给数据库进行编译，执行时，直接使用编译好的sql，替换占位符 “？” 就可以了。因为sql注入只能对编译过程起作用，所以这样的方式就很好地避免了SQL注入的问题。

mybatis是如何做到sql预编译的呢？

其实在框架底层，是jdbc中的PreparedStatement类在起作用，PreparedStatement是我们很熟悉的Statement的子类，它的对象包含了编译好的sql语句。这种“准备好”的方式不仅能提高安全性，而且在多次执行一个sql时，能够提高效率，原因是sql已编译好，再次执行时无需再编译。

话说回来，是否我们使用mybatis就一定可以防止sql注入呢？当然不是，请看下面的代码：

<select id=“orderBlog“ resultType=“Blog“ parameterType=”map”>
       select id,title,author,content from blog order by ${orderParam}
</select>

仔细观察，内联参数的格式由#{xxx}变为了${xxx}。如果我们给参数“orderParam”赋值为”id”,将sql打印出来，是这样的：

select id,title,author,content from blog order by id

这样格式的参数会直接参与sql编译，从而不能避免注入攻击。但涉及到动态表名和列名时，只能使用“${xxx}”这样的参数格式，所以，这样的参数需要我们在代码中手工进行处理来防止注入。

结论：在编写mybatis的映射语句时，尽量采用“#{xxx}”这样的格式。若不得不使用“${xxx}”这样的参数，要手工地做好过滤工作，来防止sql注入攻击。