歡迎加我微信：fageweiketang一起交流討論，一起學習進步。

0x00：引子

在 MyBatis 的對映配置檔案中，select 標籤查詢配置結果集時使用過 resultType 屬性，當在 resultType 中定義一個 Java 包裝類時，如果 sql 語句查詢的結果中有列名與該 Java 包裝類中的屬性名一致，則該欄位就會被對映到該屬性上。這裡用到的就是 MyBatis 的自動對映功能，

當 sql 語句查詢出結果時，如果對應輸出配置的 Java 包裝類中有相同名稱的屬性，且擁有 set 方法，則該結果就會被自動對映。

0x01：原理

MyBatis 的自動對映功能是建立在 resultMap 基礎之上的。resultType 屬性自動對映的原理是，當 sql 對映輸出配置為 resultType 時，MyBatis 會生成一個空的 resultMap，然後指定這個 resultMap 的 type 為指定的 resultType 的型別，接著 MyBatis 檢測查詢結果集中欄位與指定 type 型別中屬性的對映關係，對結果進行自動對映。

在 MyBatis 全域性配置檔案中，在 setting 標籤內設定自動對映模式：

<setting name="autoMappingBehavior" value="PARTIAL"/>

0x02：配置

在 MyBatis 中，自動對映有三種模式，分別是 NONE、PARTIAL、FULL。其中 NONE 表示不啟用自動對映，PARTIAL 表示只對非巢狀的 resultMap 進行自動對映，FULL 表示對所有的 resultMap 都進行自動對映。預設的自動對映模式為 PARTIAL。

0x03：拓展

在 sql 查詢結果中，如果只有部分欄位與輸入配置型別中的屬性名稱不一樣，則可以僅在 resultMap 中指定不一樣的欄位對應的輸出型別的屬性，其他的則會直接進行自動對映。

例如以下示例，Java 包裝類中使用者名稱屬性為 username，而在 t_user 表中使用者名稱的欄位名為 name，這裡需要手動對映 name 欄位，其他的屬性可以通過預設的自動對映機制來對映：

<resultMap type="cn.com.mybatis.pojo.User" id="UserResult">
    <result property="username" column="name"/>
</resultMap>
<select id="findUserById" parameterType="java.lang.Long"
 
 resultMap="UserResult">
    select id,name,email from t_user where id=#{id}
</select>

在 User 類中，包含了手動對映的 username 屬性和自動對映的 id、email 屬性。

如果在某些 resultMap 中不想使用自動對映，則可以單獨在該 resultMap 中設定 autoMapping 的屬性為 false，此時該 resultMap 僅對映指定的對映欄位：

<select id="findUserById" parameterType="java.lang.Long" resultMap="UserResult" autoMapping="false">
    select id,name,email from t_user where id=#{id}
</select>

當配置了 autoMapping 屬性後，就會忽略全域性配置檔案中的 autoMappingBehavior 對映模式。

0x04：關於 FULL

關於 FULL 模式，應該謹慎使用，該模式不管 resultMap 是巢狀的還是非巢狀的，都會進行自動對映，這可能會造成某些巢狀屬性與查詢結果的欄位名一致而誤被自動對映，例如以下示例：

<resultMap id="replyResult" type="cn.com.mybatis.pojo.Reply">
    <association property="user" resultMap="userResult"/>
</resultMap>

<resultMap id="userResult" type="cn.com.mybatis.pojo.User">
    <result property="username" column="name"/>
</resultMap>

<select id="queryReplyInfo" parameterType="java.lang.Long" resultMap="replyResult">
    select R.id,R.title,R.info,U.name form
    reply R left join t_user U on R.user_id = U.id where R.id=#{id}
</select>

以上示例載入了一個評論 Reply 和該評論的作者 User 資訊，User 並不要求對映 id 屬性，如果這個時候設定了自動對映模式為 FULL，那麼就會將從結果中取出的評論 Reply 的 id 值賦給巢狀的 resultMap 中 User 的 id，造成資料混亂。

0x05：總結

MyBatis 中的 resultMap 對映當返回的欄位名與類中欄位名一致時，預設配置是自動對映。通過 autoMappingBehavior 來配置，配置方式有三種，NONE、PARTIAL、FULL，其中 NONE 代表不啟用自動對映，PARTIAL 代表只對非巢狀的 resultMap 進行對映，FULL 代表對所有的 resultMap 都進行對映。而對於 FULL 配置，用時需要謹慎，避免造成資料混亂的情況。

更多關於程式碼審計、WEB滲透、網路安全的運維的知識，請關注微信公眾號：發哥微課堂。