ibatis动态传入表名造成的SQL注入的解决方案（摘录的）

如何解决动态数据表名，动态字段名情况下，由

ibatis

缓存

select

字段而引起的

 

字段找不到的情况？以下是最简单的解决办法！

 

当使用动态表，动态字段时，会引起字段名的缓存，以下是解决办法。

 

先看一个例子。下面是段

SQL

语句

 

<!-- 

根据查询条件从类推数据表中查询数据

 

--> 

 

<select 

id="select_resData_bycondition" 

parameterClass="java.util.HashMap" 

 

 

 

 

resultClass="java.util.HashMap" remapResults="true" > 

 

 

select $fieldnames$ from $resourcetable$ where 1=1 

 

 

<include refid="select_data_by_condition" /> 

 

</select> 

 

前台传入的

hashmap

变量中，有动态数据表名，及字段名，

 

Dao

里面的调用方法如下：

 

//

根据动态数据表名及动态选择的字段按条件分页查出相应的数据

,

注意清除缓存的使

用

 

 

public void getResDataByCondition(Page page) { 

 

 

// TODO Auto-generated method stub 

 

 

 

 

 

 

 

super

.queryForListPagination("select_resData_bycondition", 

page); 

 

 

 

 

 

 

 

} 

 

父类的

queryForListPagination

如下：其中

page

这个变量是对

dataset

进行一些

封装，对查询条件封装。

 

 

public 

void 

 

queryForListPagination(String 

statementName,Page 

page){ 

 

 

 

 

 

…

.

略

 

 

 

 

 

 

 

 

 

 

 

} 

由于多个菜单会调用到这个

dao

中的

getResDataByCondition

方法，也就去调用

 

Id

为

select_resData_bycondition

的

select

语句，由于

ibatis

的缓存机制，

 

当第一次调用这个

select

语句时，会将字段查询出来，放入缓存中，比如第一个表

 

是

user

人员表，有字段

gh,name,gz

等字段，则第二次调用时，前台传入了表名是

 

Dwbm

部门表，有字段

bmbm,bmmc

等，看了

ibatis

的源码，知道

 

ibaits

中缓存列名的地方在这里：

 

 

 

com.ibatis.sqlmap.engine.mapping.result .AutoResultMap 

 

 

 

public 

synchronized 

Object[] 

getResults(StatementScope 

statementScope, ResultSet rs) 

 

 

 

 

 

 

 

throws SQLException { 

 

 

 

 

if (allowRemapping || getResultMappings() == null) { 

 

 

 

 

 

 

initialize(rs); 

 

 

 

 

} 

 

 

 

 

return super

.getResults(statementScope, rs); 

 

 

} 

所以第二次形成的正确

SQL

语句应该是

select bmbm,bmmc from 

 

Dwbm where 

条件

…

 

如果这样，当然能找到适合的数据，不过由于以上所述缓存机制的存在，使得

 

在执行第二个动态查询时，实际上先将上一次查询出来的字段名放在缓存中，

 

即

gh,name,gz 

 

这时取出来，形成了实际的

SQL

语句

 

Select gh,name,gz from dwbm where 

条件

 

这样当然就不正确了！

 

最简单的解决办法是在各

SQL

语句的书写中，加上

remapResults="true" 

如上面的

id

为

"select_resData_bycondition"

的语句，

 

这样就强制每次根据前台传进的动态数据表名，和动态字段名，

 

重新去映射字段，而不再使用上一次的字段列表，这样当然就正确了！

 

再不会出现某字段找不到的情况！这是最简单的办法！