sql注入

Posted 2020-10-21 bloom_camellia

防止sql注入

什么是sql注入，也可以看一些好的博客，比如 http://www.cnblogs.com/rush/archive/2011/12/31/2309203.html。

预防sql注入：

1. 不使用${}在sql中取值，可以用%||#{}||%代替，每个数据库方言不同，具体可以看看这里https://www.cnblogs.com/forget406/p/5506394.html。

2. 使用标签连接，比如(这样可以在数据库不同的时候，也都是可以用的)

         <if test="usname!= null and usname!=\'\'">
            <bind name="usnamesql" value="\'%\' + _parameter.usname+ \'%\'" />
            and us_name like #{usnamesql}
        </if>            

3. 在传入参数的时候进行参数校验，参考这里https://www.cnblogs.com/baizhanshi/p/6002898.html。

还有其它的方式不太知道了，后续看到再添加吧，哈哈~~