mybatis的${}与#{}的区别

什么是sql注入,怎么防止sql注入?

1.sql注入简介

sql注入是比较常见的网络攻击方式之一,他不是利用操作系统的BUG来实现攻击,而是针对程序员编程时的疏忽,通过sql语句,实现无账号登录,甚至篡改数据库.

2.sql注入攻击的总体私思路

1.寻找到sql注入的位置

2.判断服务器类型和后台数据库类型

3.针对不同的服务器和数据库特点进行sql注入攻击

3.sql注入攻击实例

1.比如在一个登陆界面,要求输入用户名和密码:

可以通过传入账号为"account":"'1' or '1'='1'","password":"'1' or '1'='1'#"来进行免账号登陆:

例如mybatis的${}就是会被sql注入直接登陆

而#{}会将数据带上""号可以避免sql注入