Mybatis是如何實現SQL防注入的

Mybatis這個框架在日常開發中用的很多,比如面試中經常有一個問題:$#的區別,它們的區別是使用#可以防止SQL注入,今天就來看一下它是如何實現SQL注入的。

什么是SQL注入

在討論怎么實現之前,首先了解一下什么是SQL注入,我們有一個簡單的查詢操作:根據id查詢一個用戶信息。它的sql語句應該是這樣:select * from user where id =。我們根據傳入條件填入id進行查詢。

如果正常操作,傳入一個正常的id,比如說2,那么這條語句變成select * from user where id =2。這條語句是可以正常運行并且符合我們預期的。

但是如果傳入的參數變成'' or 1=1,這時這條語句變成select * from user where id = '' or 1=1。讓我們想一下這條語句的執行結果會是怎么?它會將我們用戶表中所有的數據查詢出來,顯然這是一個大的錯誤。這就是SQL注入。

Mybatis如何防止SQL注入

在開頭講過,可以使用#來防止SQL注入,它的寫法如下:

<select id="safeSelect" resultMap="testUser">
   SELECT * FROM user where id = #{id}
</select>

在mybatis中查詢還有一個寫法是使用$,它的寫法如下:

<select id="unsafeSelect" resultMap="testUser">
   select * from user where id = ${id}
</select>

當我們在外部對這兩個方法繼續調用時,發現如果傳入安全的參數時,兩者結果并無不同,如果傳入不安全的參數時,第一種使用#的方法查詢不到結果(select * from user where id = '' or 1=1),但這個參數在第二種也就是$下會得到全部的結果。

并且如果我們將sql進行打印,會發現添加#時,向數據庫執行的sql為:select * from user where id = ' \'\' or 1=1 ',它會在我們的參數外再加一層引號,在使用$時,它的執行sql是select * from user where id = '' or 1=1

棄用$可以嗎

我們使用#也能完成$的作用,并且使用$還有危險,那么我們以后不使用$不就行了嗎。

并不是,它只是在我們這種場景下會有問題,但是在有一些動態查詢的場景中還是有不可代替的作用的,比如,動態修改表名select * from ${table} where id = #{id}。我們就可以在返回信息一致的情況下進行動態的更改查詢的表,這也是mybatis動態強大的地方。

如何實現SQL注入的,不用Mybatis怎么實現

其實Mybatis也是通過jdbc來進行數據庫連接的,如果我們看一下jdbc的使用,就可以得到這個原因。

#使用了PreparedStatement來進行預處理,然后通過set的方式對占位符進行設置,而$則是通過Statement直接進行查詢,當有參數時直接拼接進行查詢。

所以說我們可以使用jdbc來實現SQL注入。

看一下這兩個的代碼:

public static void statement(Connection connection) {
  System.out.println("statement-----");
  String selectSql = "select * from user";
  // 相當于mybatis中使用$,拿到參數后直接拼接
  String unsafeSql = "select * from user where id = '' or 1=1;";
  Statement statement = null;
  try {
    statement = connection.createStatement();
  } catch (SQLException e) {
    e.printStackTrace();
  }
  try {
    ResultSet resultSet = statement.executeQuery(selectSql);
    print(resultSet);
  } catch (SQLException e) {
    e.printStackTrace();
  }
  System.out.println("---****---");
  try {
    ResultSet resultSet = statement.executeQuery(unsafeSql);
    print(resultSet);
  } catch (SQLException e) {
    e.printStackTrace();
  }
}

public static void preparedStatement(Connection connection) {
  System.out.println("preparedStatement-----");
  String selectSql = "select * from user;";
  //相當于mybatis中的#,先對要執行的sql進行預處理,設置占位符,然后設置參數
  String safeSql = "select * from user where id =?;";
  PreparedStatement preparedStatement = null;
  try {
    preparedStatement = connection.prepareStatement(selectSql);
    ResultSet resultSet = preparedStatement.executeQuery();
    print(resultSet);
  } catch (SQLException e) {
    e.printStackTrace();
  }
  System.out.println("---****---");
  try {
    preparedStatement = connection.prepareStatement(safeSql);
    preparedStatement.setString(1," '' or 1 = 1 ");
    ResultSet resultSet = preparedStatement.executeQuery();
    print(resultSet);
  } catch (SQLException e) {
    e.printStackTrace();
  }
}

public static void print(ResultSet resultSet) throws SQLException {
  while (resultSet.next()) {
    System.out.print(resultSet.getString(1) + ", ");
    System.out.print(resultSet.getString("name") + ", ");
    System.out.println(resultSet.getString(3));
  }
}

總結

  • Mybatis中使用#可以防止SQL注入,$并不能防止SQL注入
  • Mybatis實現SQL注入的原理是調用了jdbc中的PreparedStatement來進行預處理。

本文由博客一文多發平臺 OpenWrite 發布!
博主郵箱:liunaijie1996@163.com,有問題可以郵箱交流。

?著作權歸作者所有,轉載或內容合作請聯系作者
平臺聲明:文章內容(如有圖片或視頻亦包括在內)由作者上傳并發布,文章內容僅代表作者本人觀點,簡書系信息發布平臺,僅提供信息存儲服務。

推薦閱讀更多精彩內容

  • 1.-----模糊查詢: like%表示匹配任意長度的字符串%test%:表示匹配中間字符串為test的任意長度的...
    失業者灬L閱讀 200評論 0 0
  • 一有開頭,后面就有思想。 這句話是大眼妹說的。 最近我真的中了大眼妹的毒。 說話,三句不離大眼妹。寫文章,連標點符...
    梁超文閱讀 640評論 0 1
  • 9月20日,這是一個想來也有些百般無聊的日子,我點開手機音樂播放器,《軍中綠花》緩緩流出“寒風飄飄落葉,軍隊是一朵...
    粉媗閱讀 254評論 1 0