MyBatis是如何防止SQL注入的？

什么是SQL注入？

sql存在漏洞，会被攻击，导致数据泄露

SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。

如果程序员信息安全意识不强，采用动态构造SQL语句访问数据库，并且对用户的输入未进行有效性验证，则存在SQL注入漏洞的可能性很大。一般通过页面的报错信息来确定是否存在SQL注入漏洞。

public class SQLInjection{
  public static void main(String[] args){
    login("kuangshen","123456");
    
    //login("'or' 1=1","'or' 1=1")
    //select * from users where NAME =''or' 1=1' AND `password`=''or' 1=1'
    //1=1为恒等 SQL会被拼接
  }
  
  //登陆业务
  public static void login(String username, String password){
    Connection conn = null;
    Statement st = null;
    ResultSet rs = null;
    
    try{
      conn = JdbcUtils.getConnection();
      st = conn.getStatement();
      
      //SQL
      String sql= "select * from users where NAME ='"+username+"' AND `password`='"+password+"'";
      rs = st.executeQuery(sql);
      
      while(rs.next()){
        System.out.println(rs.getString("NAME"));
        System.out.println(rs.getString("password"));
      }
      
    }catch(SQLException e){
      e.printStackTrace();
    }finally{
      JdbcUtils.relese(conn, st, rs);
    }
  }
}

JDBC中如何防止SQL注入？

使用PreparedStatement对象。

可以防止SQL注入，并且效率更高

插入数据

public class TestInsert{
  Connection conn = null;
  PreparedStatement st = null;
  
  try{
    conn = JdbcUtils.getConnection();
    
    //区别
    //使用? 占位符代替参数
    //String sql = "INSERT INTO users(id,`NAME`,`PASSWORD`,`email`,`birthday`)" +
    //    "VALUES(4,'kuangshen','123456','12345678@qq.com','2020-01-01')";
    String sql = "INSERT INTO users(id,`NAME`,`PASSWORD`,`email`,`birthday`) VALUES(?,?,?,?,?)";
    
    
    st = conn.preparedStatement(sql);//预编译sql，先写sql，不执行
    
    //手动给参数赋值
    st.setInt(1, 4);
    st.setString(2, "kuangshen");
    st.setString(3,"123456");
    st.setString(4,"12345678@qq.com");
    //注意点：sql.Date	数据库
    //				util.Date		Java new Date.getTime() 获得时间戳
    st.setDate(5,new java.sql.Date(new Date().getTime()));
    int i = st.executeUpdate();
    if(i > 0){
      System.out.println("success!");
    }
  }catch(SQLException e){
    e.printStackTrace();
  }finally{
    JdbcUtils.relese(conn, st, rs);
  }
}

MyBatis如何防止SQL注入？

MyBatis中 # 和 $ 的区别：

<select id="selectByNameAndPassword" parameterType="java.util.Map" resultMap="BaseResultMap">
select id, username, password, role
from user
where username = #{username,jdbcType=VARCHAR}
and password = #{password,jdbcType=VARCHAR}
</select>

<select id="selectByNameAndPassword" parameterType="java.util.Map" resultMap="BaseResultMap">
select id, username, password, role
from user
where username = ${username,jdbcType=VARCHAR}
and password = ${password,jdbcType=VARCHAR}
</select>

1、#将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。
如：where username=#{username}，如果传入的值是111,那么解析成sql时的值为where username=“111”, 如果传入的值是id，则解析成的sql为where username=“id”.　
2、$ 将传入的数据直接显示生成在sql中。
如：where username=$ {username}，如果传入的值是111,那么解析成sql时的值为where username=111；
如果传入的值是;drop table user;，则解析成的sql为：select id, username, password, role from user where username=;drop table user;
3、#方式能够很大程度防止sql注入，$ 方式无法防止Sql注入。
4、$ 方式一般用于传入数据库对象，例如传入表名.
5、一般能用#的就别用$ ，若不得不使用“$ {xxx}”这样的参数，要手工地做好过滤工作，来防止sql注入攻击。
6、在MyBatis中，“$ {xxx}”这样格式的参数会直接参与SQL编译，从而不能避免注入攻击。但涉及到动态表名和列名时，只能使用“$ {xxx}”这样的参数格式。所以，这样的参数需要我们在代码中手工进行处理来防止注入。

【结论】在编写MyBatis的映射语句时，尽量采用“#{xxx}”这样的格式。若不得不使用“${xxx}”这样的参数，要手工地做好过滤工作，来防止SQL注入攻击。

MyBatis框架作为一款半自动化的持久层框架，其SQL语句都要我们自己手动编写，这个时候当然需要防止SQL注入。其实，MyBatis的SQL是一个具有“输入+输出”的功能，类似于函数的结构，参考上面的两个例子。其中，parameterType表示了输入的参数类型，resultType表示了输出的参数类型。回应上文，如果我们想防止SQL注入，理所当然地要在输入参数上下功夫。上面代码中使用#的即输入参数在SQL中拼接的部分，传入参数后，打印出执行的SQL语句，会看到SQL是这样的：

select id, username, password, role from user where username=? and password=?

不管输入什么参数，打印出的SQL都是这样的。这是因为MyBatis启用了预编译功能，在SQL执行前，会先将上面的SQL发送给数据库进行编译；执行时，直接使用编译好的SQL，替换占位符“?”就可以了。因为SQL注入只能对编译过程起作用，所以这样的方式就很好地避免了SQL注入的问题。

底层实现原理

MyBatis是如何做到SQL预编译的呢？

其实在框架底层，是JDBC中的PreparedStatement类在起作用，PreparedStatement是我们很熟悉的Statement的子类，它的对象包含了编译好的SQL语句。
这种“准备好”的方式不仅能提高安全性，而且在多次执行同一个SQL时，能够提高效率。原因是SQL已编译好，再次执行时无需再编译。

结论

#{}	相当于JDBC中的PreparedStatement
${}	是输出变量的值

简单说，#{}是经过预编译的，是安全的；${}是未经过预编译的，仅仅是取变量的值，是非安全的，存在SQL注入。

原文：https://www.cnblogs.com/mmzs/p/8398405.html