MyBatis如何防止SQL注入

SQL注入起因

SQL注入是一种常见的攻击方式，攻击者或者误操作者通过表单信息或者URL输入一些异常的参数，传入服务端进行SQL处理，可能会出现这样的情况delete from app_poi where poi_id = (输入参数)：

输入参数：10 or 1 = 1

SQL拼接：delete from app_poi where poi_id = (10 or 1 = 1)

执行结果：app_poi中的所有数据都会被delete

这种问题出现的原因可能是攻击者故意为之，也可能是误操作，那么服务端该如何处理，避免这样的问题出现呢？

MyBatis

MyBatis是一种半自动化持久化框架，所有SQL操作都需要我们通过配置文件或者注解的方式手动编辑，它提供了一种类函数的功能，用户提供输入，MyBatis根据输入类型和输入参数进行验证，如果参数没有问题，那么MyBatis就针对合法的输入提供输出，即

用户输入参数+用户输入类型 ---> MyBatis检测 ---> 返回输出

接下来通过配置文件和注解两种方式来进行说明

• 配置文件：

<delete id="deletePoiById" parameterType="java.lang.Integer">

    DELETE

    FROM app_poi

    where poi_id = #{poiId}

</delete>

• 基于注解

@delete("delete from app_poi where poi_id = #{poiId}")

public void deletePoiById(@Param("poiId") Integer poiId);

MyBatis对用户输入的数据会检测其类型是否和parameterType标识的类型一致，如果一致，则进行后续拼接处理，否则抛出异常，SQL就不会执行

对于10 or 1 = 1这种输入，和java.lang.Integer类型不同，就会abort并抛出异常

原理

MyBatis使用#{}防止SQL注入，其实使用的是PreparedStatement，PreparedStatement会对执行SQL进行预编译，这个过程是发生在数据库服务端，也就是说，对于PreparedStatement的SQL需要两次网络请求，首次是获取PreparedStatement，第二次才是发起SQL执行；

PreparedStatement会对SQL中输入的参数进行检测，并在SQL都是用问号来设置占位符，即只允许传入一个参数，像（10 or 1 = 1）这种明显不会被占位符所接受

String类型SQL注入

对于数字类型参数#{}可以很好的解决SQL注入，其原因不难理解，那么对于string类型的呢？Mybatis只是使用了一个占位符并不能解决该问题

<delete id="deletePoiById" parameterType="java.lang.String">

    DELETE

    FROM app_poi

    where content = #{content}

</delete>

如果content的内容是“美食 or 1 = 1”，那么数据将会被全部清除

解决该问题，还是结合传统方式，使用正则表达式匹配，总结常见的需要摒弃的string，替换为空即可，例如string包含

and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|; |or|-|+|,等