博客
关于我
mybatis-plus apply 防SQL注入,从零基础到精通,收藏这篇就够了!
阅读量:798 次
发布时间:2023-02-09

本文共 2196 字,大约阅读时间需要 7 分钟。

MyBatis-Plus apply方法与SQL注入防护

apply方法的作用

MyBatis-Plus 的 apply 方法允许在查询条件中直接拼接自定义的 SQL 片段。例如:

QueryWrapper queryWrapper = new QueryWrapper<>();
queryWrapper.apply("date_format(create_time, '%Y-%m-%d') = {0}", "2023-10-01");

这里,{0} 是占位符,MyBatis-Plus 会自动将其替换为参数值,确保 SQL 安全。

SQL 注入风险

直接将用户输入拼接到 SQL 片段中可能导致严重的 SQL 注入风险。例如:

String userInput = "2023-10-01'; DROP TABLE user; --";
queryWrapper.apply("date_format(create_time, '%Y-%m-%d') = '" + userInput + "'");

生成的 SQL 可能变成:

date_format(create_time, '%Y-%m-%d') = '2023-10-01'; DROP TABLE user; --

这会导致 SQL 注入问题。

防止 SQL 注入的方法

方法 1:使用占位符和参数化查询

MyBatis-Plus 的 apply 方法支持占位符(如 {0}{1}),并会对参数进行转义,防止 SQL 注入。例如:

String safeDate = "2023-10-01";
queryWrapper.apply("date_format(create_time, '%Y-%m-%d') = {0}", safeDate);

生成的 SQL 是安全的:

date_format(create_time, '%Y-%m-%d') = '2023-10-01'
方法 2:使用 SqlInjectionUtils 检查输入

MyBatis-Plus 提供 SqlInjectionUtils 工具类,可以用于检测输入是否包含 SQL 注入风险。例如:

import com.baomidou.mybatisplus.core.toolkit.sql.SqlInjectionUtils;
String userInput = "2023-10-01'; DROP TABLE user; --";
if (SqlInjectionUtils.check(userInput)) {
throw new IllegalArgumentException("输入包含非法字符");
}
queryWrapper.apply("date_format(create_time, '%Y-%m-%d') = {0}", userInput);
方法 3:避免直接拼接 SQL

尽量使用 MyBatis-Plus 提供的安全方法,如 eqlike 等,而不是直接拼接 SQL。例如:

queryWrapper.eq("date_format(create_time, '%Y-%m-%d')", "2023-10-01");

最佳实践

  • 始终使用占位符

    • 使用 {0}{1} 等占位符,而不是直接拼接字符串。
  • 验证用户输入

    • 对用户输入进行严格的验证和过滤,确保其符合预期格式。
  • 使用安全的 API

    • 尽量使用 MyBatis-Plus 提供的安全方法(如 eqlike 等),而不是直接拼接 SQL。
  • 定期检查代码

    • 定期检查代码中是否存在直接拼接 SQL 的情况,及时修复潜在的安全问题。
  • 安全使用 apply 方法示例

    QueryWrapper queryWrapper = new QueryWrapper<>();
    String safeDate = "2023-10-01";
    queryWrapper.apply("date_format(create_time, '%Y-%m-%d') = {0}", safeDate);
    List
    userList = userMapper.selectList(queryWrapper);

    不安全使用 apply 方法示例(不推荐)

    QueryWrapper queryWrapper = new QueryWrapper<>();
    String unsafeDate = "2023-10-01'; DROP TABLE user; --";
    queryWrapper.apply("date_format(create_time, '%Y-%m-%d') = '" + unsafeDate + "'");
    List
    userList = userMapper.selectList(queryWrapper);

    总结

    • apply 方法可以安全使用,但必须通过占位符和参数化查询来避免 SQL 注入。
    • 避免直接拼接 SQL,始终对用户输入进行验证和过滤。
    • 使用 MyBatis-Plus 提供的工具类(如 SqlInjectionUtils)来检查输入的安全性。
    • 遵循最佳实践,确保代码的安全性和可维护性。

    转载地址:http://ffffk.baihongyu.com/

    你可能感兴趣的文章
    MySQL 中随机抽样:order by rand limit 的替代方案
    查看>>
    MySQL 为什么需要两阶段提交?
    查看>>
    mysql 为某个字段的值加前缀、去掉前缀
    查看>>
    mysql 主从
    查看>>
    mysql 主从 lock_mysql 主从同步权限mysql 行锁的实现
    查看>>
    mysql 主从互备份_mysql互为主从实战设置详解及自动化备份(Centos7.2)
    查看>>
    mysql 主从关系切换
    查看>>
    MYSQL 主从同步文档的大坑
    查看>>
    mysql 主键重复则覆盖_数据库主键不能重复
    查看>>
    Mysql 事务知识点与优化建议
    查看>>
    Mysql 优化 or
    查看>>
    mysql 优化器 key_mysql – 选择*和查询优化器
    查看>>
    MySQL 优化:Explain 执行计划详解
    查看>>
    Mysql 会导致锁表的语法
    查看>>
    mysql 使用sql文件恢复数据库
    查看>>
    mysql 修改默认字符集为utf8
    查看>>
    Mysql 共享锁
    查看>>
    MySQL 内核深度优化
    查看>>
    mysql 内连接、自然连接、外连接的区别
    查看>>
    mysql 写入慢优化
    查看>>