Mybatis的SQL注入实例分析

本文小编为大家详细介绍"Mybatis的SQL注入实例分析"，内容详细，步骤清晰，细节处理妥当，希望这篇"Mybatis的SQL注入实例分析"文章能帮助大家解决疑惑，下面跟着小编的思路慢慢深入，一起来学习新知识吧。

前言

MyBatis3提供了新的基于注解的配置。主要在MapperAnnotationBuilder中，定义了相关的注解：

public MapperAnnotationBuilder(Configuration configuration, Class type) {    ...    sqlAnnotationTypes.add(Select.class);    sqlAnnotationTypes.add(Insert.class);    sqlAnnotationTypes.add(Update.class);    sqlAnnotationTypes.add(Delete.class);    ......    sqlProviderAnnotationTypes.add(SelectProvider.class);    sqlProviderAnnotationTypes.add(InsertProvider.class);    sqlProviderAnnotationTypes.add(UpdateProvider.class);    sqlProviderAnnotationTypes.add(DeleteProvider.class);}

增删改查占据了绝大部分的业务操作，通过注解不在需要配置繁杂的xml文件，越来越多的sql交互均通过注解来实现。从MapperAnnotationBuilder可以看到Mybatis提供了以下相关的注解：

• @Select

• @Insert

• @Update

• @Delete

• @SelectProvider

• @InsertProvider

• @UpdateProvider

• @DeleteProvider

例如如下例子，使用@Select注解直接编写SQL完成数据查询：

@Mapperpublic interface UserMapper {    @Select("select * from t_user")    List list();}

使用类似@SelectProvider高级注解可以指定某个工具类的方法来动态编写SQL，以应对复杂的业务需求。
以@SelectProvider 为例，查看具体的实现，主要包含两个注解属性，其中type表示工具类，method 表示工具类的某个方法，用于返回具体的SQL：

@Documented@Retention(RetentionPolicy.RUNTIME)@Target(ElementType.METHOD)public @interface InsertProvider {    // 用于指定获取 sql 语句的指定类    Class type();    // 指定类中要执行获取 sql 语句的方法    String method();}

使用方法如下,在ProjectSql类的getContentByProjectIds方法定义相关的sql即可，sql的定义可以通过org.apache.ibatis.jdbc.SQL来快速实现：
@SelectProvider(type = ProjectSql.class, method = "getContentByProjectIds")
List getContentByProjectIds(List projectIds);

常见注入场景

2.1普通注解

实际上跟xml配置中对应的标签语法是一样的（例如@Select对应标签），所以注入场景也是类似的。

在Mybatis中，#的作用主要是替换预编译语句(PrepareStatement)中的占位符?，$是直接的SQL拼接。以like模糊查询 为例子：

例如如下例子：

跟xml配置一样，like模糊查询直接使用#预编译的方式进行注解的话会触发异常，所以很多时候直接使用$进行注解:

@Select("SELECT id, name, age, email FROM user where name like '${name}'")List queryUserByName(@Param("name") String name);

那么此时name前端用户可控的话，将导致SQL注入风险。

图片查看sql日志，成功执行1/0触发sql error，说明注入成功：

处理这类SQL问题也很简单，使用sql的内置函数进行拼接，拼接后再采用#预编译的方式进行查询。例如上面案例是h3数据库的，使用'||'拼接再进行预编译处理即可：

@Select("SELECT id, name, age, email FROM user where name like '%'||#{name}||'%'")List queryUserByName(@Param("name") String name);

此时已使用预编译进行SQL查询：

此外，类似Order by、动态表名，无法采用预编译的方式情况，可以在在代码层使用间接引用的方式进行处理。

对于范围查询in，熟悉mybatis注入的话，是需要使用MyBatis自带的循环指令foreach来解决SQL语句动态拼接的，当使用注解时，就需要使用< script>标签来引入foreach了。

2.2 动态sql

2.2.1 使用< script>

要在带普通注解的映射器接口类中使用动态 SQL，可以使用script 元素。跟xml类似，主要是如下的元素：

ifchoose (when, otherwise)trim (where, set)foreach

相关的注入场景跟2.1也是类似的。也是离不开$。此外，在进行同条件多值查询（例如范围查询in）的时候，可以使用MyBatis自带的循环指令foreach来解决SQL语句动态拼接的问题。

2.2.2 使用Provider注解

可以通过使用Provider注解指定某个工具类的方法来动态编写SQL。以@SelectProvider为例：

首先在mapper中使用@SelectProvider定义相关的方法，其中type表示工具类，method 表示工具类的某个方法，用于返回具体的SQL。例如下面的例子：
通过传递userIds以及name，查询相关的用户信息，在UserInfoSql类的getUserInfoByids方法定义了具体的SQL内容：

/**   * @param userIds 必填   * @param name 可选   * @return   */  @SelectProvider(type = UserInfoSql.class, method = "getUserInfoByids")  List getUserInfoByids(List userIds, String name);     class UserInfoSql {    public String getUserInfoByids(List userIds, String name) {      SQL sql = new SQL();      sql.SELECT("id, name, age, email");      sql.FROM("user");      sql.WHERE("id in(" + Joiner.on(',').join(userIds) + ")");      if(StringUtil.isNotBlank(name)){        sql.WHERE("name like '%" + name + "%'");      }      sql.ORDER_BY("id desc");      return sql.toString();    }  }

在Controller调用具体方法就可以进行sql查询了：

@RequestMapping(value = "/getUserInfoByids") public List getUserInfoByids(String name,@RequestParam List userIds){         List userList = userMapper.getUserInfoByids(userIds,name);         return userList; }

正常请求返回对应的用户信息：

前面是通过MyBatis 3 提供的工具类org.apache.ibatis.jdbc.SQL来生成SQL的。该类提供了类似select、where、ORDER_BY等方法来完成SQL生成的操作。这里有个误区，很多开发认为这里工具类会进行相关的预编译处理。

实际上Provider其实只需要返回一个SQL字符串，工具类只不过用了一些关键字做格式化而已，甚至可以直接使用StringBuffer拼接SQL语句。同样是上面的例子，List userIds是long类型，但是name是String类型，可以尝试注入：

查看相关日志，成功执行1/0逻辑触发SQL error，也印证了Provider实际上只是 SQL 拼接，没有做相关的安全处理 ：

相比@Select@，SelectProvider 只是在定义注解的方式上有所不同, 前者是直接定义 sql, 一个是在外部定义好 sql 直接引用, 没本质上的区别，所以解决方法是在对应的sql场景，使用#进行预编译进行处理，例如这里的like模糊查询和in范围查询：

@SelectProvider(type = UserInfoSql.class, method = "getUserInfoByids")  List getUserInfoByids(@Param("userIds")List userIds,@Param("name")String name);     class UserInfoSql {    public String getUserInfoByids(@Param("userIds")List userIds, @Param("name")String name) {            StringBuilder sql = new StringBuilder(128);            sql.append("< script>SELECT id, name, age, email FROM user WHERE (id in");            sql.append("#{item}");      if(StringUtil.isNotBlank(name)){              sql.append("and name like '%'||#{name}||'%')");      }      sql.append("ORDER BY id desc");      return sql.toString();    }  }

查看sql日志，此时使用预编译进行sql处理，避免了SQL注入风险。

读到这里，这篇"Mybatis的SQL注入实例分析"文章已经介绍完毕，想要掌握这篇文章的知识点还需要大家自己动手实践使用过才能领会，如果想了解更多相关内容的文章，欢迎关注行业资讯频道。

很赞哦！

注解 方法 查询 工具 编译 处理 动态 语句 例子 方式 场景 配置 实例 实例分析 分析 成功 内容 实际 实际上 文章 数据库的安全要保护哪些东西 数据库安全各自的含义是什么 生产安全数据库录入 数据库的安全性及管理 数据库安全策略包含哪些 海淀数据库安全审计系统 建立农村房屋安全信息数据库 易用的数据库客户端支持安全管理 连接数据库失败ssl安全错误 数据库的锁怎样保障安全 it 服务器管理系统 tbc人少的服务器 游戏加速服务器需要多少带宽 央视网络安全新闻 德惠正规网络技术诚信服务 五一广场租房软件开发 软件开发和安卓开发 钱在银行数据库只是一个数字吗 服务器搭建网站的优缺点 我的世界与小伙伴一起玩服务器 不属于数据库系统软件 软件开发该不该找外包 战地4租服务器 基因网络技术进展如何 华为网络技术学院建设方案 软件开发过程变化 国美美信网络技术电话 黑莓原生软件开发 泰拉瑞亚手机版7777服务器 数据库数据特别多负载 geo数据库如何查到分组信息 思泉软件开发平台 网易的服务器推荐 南沙区质量网络技术开发动态 软件开发合同英文版 宝塔实现主从服务器教程 计算机网络技术分层试卷 csgo不同版本连接服务器 服务器报废询价怎么写 学习软件开发多少钱

扫描关注千家信息网微信公众号，第一时间获取内容更新动态

转载请说明来源于"千家信息网"

本文地址：https://www.qianjiagd.com/a229788

• 上一篇

  css如何为带有title属性的所有元素设置样式

  小编给大家分享一下css如何为带有title属性的所有元素设置样式，希望大家阅读完这篇文章之后都有所收获，下面让我们一起去探讨吧！属性选择器下面的例子为带有 title 属性的所有元素设置样式：[ti

• 下一篇

  如何实现Java后端产生验证码后台验证功能

  这篇文章主要介绍如何实现Java后端产生验证码后台验证功能，文中介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们一定要看完！直接跳severlet在java后台生成验证码：@RequestMapp

相关文章

• PHP中session会话操作技巧有哪些
• PHP类相关知识点有哪些
• VS2008无法直接查看STL值怎么办
• php版微信公众平台之微信网页登陆授权的示例分析
• 中高级PHP程序员应该掌握什么技术
• CI框架出现mysql数据库连接资源无法释放怎么办
• ajax跨域访问报错501怎么办
• 什么是RPC框架
• .net mvc超过了最大请求长度怎么办
• php分页原理的示例分析

0