mybatis中${}的sql注入解決方案

主要解決sql的like 、in 、order by 注入問題，其他查詢也可以參照下面解決建議

首先#{}和${}在預編譯中的處理是不一樣的。

#{}在預處理時，會把引數部分用一個佔位符 ?代替，變成如下的sql語句：

select * from user where name = ?;

${}則只是簡單的字串替換，在動態解析階段，該sql語句會被解析成

select * from user where name = 'Seattle';

上面#{}的引數轉換是發生在DBMS中，而${}則發生在動態解析過程中的，所以優先使用#{}，這樣就可以避免sql解析注入。

下面介紹幾種查詢避免sql注入的案例

1.模糊查詢like的兩種修復建議：

select * from user where name like '%${name}%';  /*有注入風險sql*/

處理方式1：在程式中校驗並拼接%後，直接用#格式，如下

select * from user where name like #{name}

處理方式2：在xml配置中用sql的內建函式拼接，如下

select * from user where name like concat('%',#{name},'%');

-----------------------------------------------------------------------------------------

2.in查詢的注入修復建議

select * from user where id in

<foreach collection="ids" item="item" open="("separator="," close=")">#{item}</foreach>

-----------------------------------------------------------------------------------------

3.order by修復建議

select * from userorder by #{name} desc  /*有問題sql*/

因為預編譯機制只能處理查詢引數，此處顯然不是查詢引數，需要開發人員自己處理。所以只能這樣拼接：

select * from userorder by ${name} desc 

針對這種情況研開發人員可以通過程式來進行解決。比如制定一個規則，判斷執行此程式時是否需要排序，然後把排序的欄位傳進來，這樣比較簡單。

其實也可以在xml中處理，用if去判斷，這樣就顯得比較硬編碼，而且sql也增加了不少，不便閱讀。我覺得在程式處理好一點。

上面第一個in也可以在程式處理，但是xml處理更直觀簡單，所以我就沒寫程式處理建議。