MyBatis如何防止SQL注入

Posted HE_PX

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了MyBatis如何防止SQL注入相关的知识,希望对你有一定的参考价值。

SQL注入起因

SQL注入是一种常见的攻击方式,攻击者或者误操作者通过表单信息或者URL输入一些异常的参数,传入服务端进行SQL处理,可能会出现这样的情况delete from app_poi where poi_id = (输入参数):

输入参数:10 or 1 = 1

SQL拼接:delete from app_poi where poi_id = (10 or 1 = 1)

执行结果:app_poi中的所有数据都会被delete

这种问题出现的原因可能是攻击者故意为之,也可能是误操作,那么服务端该如何处理,避免这样的问题出现呢?

MyBatis

MyBatis是一种半自动化持久化框架,所有SQL操作都需要我们通过配置文件或者注解的方式手动编辑,它提供了一种类函数的功能,用户提供输入,MyBatis根据输入类型和输入参数进行验证,如果参数没有问题,那么MyBatis就针对合法的输入提供输出,即

用户输入参数+用户输入类型 ---> MyBatis检测 ---> 返回输出

接下来通过配置文件和注解两种方式来进行说明

  • 配置文件:
<delete id="deletePoiById" parameterType="java.lang.Integer">
    DELETE
    FROM app_poi
    where poi_id = #{poiId}
</delete>
  • 基于注解
@delete("delete from app_poi where poi_id = #{poiId}")
public void deletePoiById(@Param("poiId") Integer poiId);

MyBatis对用户输入的数据会检测其类型是否和parameterType标识的类型一致,如果一致,则进行后续拼接处理,否则抛出异常,SQL就不会执行

对于10 or 1 = 1这种输入,和java.lang.Integer类型不同,就会abort并抛出异常

原理

MyBatis使用#{}防止SQL注入,其实使用的是PreparedStatement,PreparedStatement会对执行SQL进行预编译,这个过程是发生在数据库服务端,也就是说,对于PreparedStatement的SQL需要两次网络请求,首次是获取PreparedStatement,第二次才是发起SQL执行;

PreparedStatement会对SQL中输入的参数进行检测,并在SQL都是用问号来设置占位符,即只允许传入一个参数,像(10 or 1 = 1)这种明显不会被占位符所接受

String类型SQL注入

对于数字类型参数#{}可以很好的解决SQL注入,其原因不难理解,那么对于string类型的呢?Mybatis只是使用了一个占位符并不能解决该问题

<delete id="deletePoiById" parameterType="java.lang.String">
    DELETE
    FROM app_poi
    where content = #{content}
</delete>

如果content的内容是“美食 or 1 = 1”,那么数据将会被全部清除

解决该问题,还是结合传统方式,使用正则表达式匹配,总结常见的需要摒弃的string,替换为空即可,例如string包含

and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|; |or|-|+|,等

以上是关于MyBatis如何防止SQL注入的主要内容,如果未能解决你的问题,请参考以下文章

MyBatis怎么防止SQL注入

MyBatis怎么防止SQL注入

mybatis模糊查询防止SQL注入

MyBatis如何防止SQL注入

mybatis如何防止sql注入

MyBatis怎么防止SQL注入