博客
关于我
mybatis-plus apply 防SQL注入,从零基础到精通,收藏这篇就够了!
阅读量:797 次
发布时间:2023-02-09

本文共 2196 字,大约阅读时间需要 7 分钟。

MyBatis-Plus apply方法与SQL注入防护

apply方法的作用

MyBatis-Plus 的 apply 方法允许在查询条件中直接拼接自定义的 SQL 片段。例如:

QueryWrapper queryWrapper = new QueryWrapper<>();
queryWrapper.apply("date_format(create_time, '%Y-%m-%d') = {0}", "2023-10-01");

这里,{0} 是占位符,MyBatis-Plus 会自动将其替换为参数值,确保 SQL 安全。

SQL 注入风险

直接将用户输入拼接到 SQL 片段中可能导致严重的 SQL 注入风险。例如:

String userInput = "2023-10-01'; DROP TABLE user; --";
queryWrapper.apply("date_format(create_time, '%Y-%m-%d') = '" + userInput + "'");

生成的 SQL 可能变成:

date_format(create_time, '%Y-%m-%d') = '2023-10-01'; DROP TABLE user; --

这会导致 SQL 注入问题。

防止 SQL 注入的方法

方法 1:使用占位符和参数化查询

MyBatis-Plus 的 apply 方法支持占位符(如 {0}{1}),并会对参数进行转义,防止 SQL 注入。例如:

String safeDate = "2023-10-01";
queryWrapper.apply("date_format(create_time, '%Y-%m-%d') = {0}", safeDate);

生成的 SQL 是安全的:

date_format(create_time, '%Y-%m-%d') = '2023-10-01'
方法 2:使用 SqlInjectionUtils 检查输入

MyBatis-Plus 提供 SqlInjectionUtils 工具类,可以用于检测输入是否包含 SQL 注入风险。例如:

import com.baomidou.mybatisplus.core.toolkit.sql.SqlInjectionUtils;
String userInput = "2023-10-01'; DROP TABLE user; --";
if (SqlInjectionUtils.check(userInput)) {
throw new IllegalArgumentException("输入包含非法字符");
}
queryWrapper.apply("date_format(create_time, '%Y-%m-%d') = {0}", userInput);
方法 3:避免直接拼接 SQL

尽量使用 MyBatis-Plus 提供的安全方法,如 eqlike 等,而不是直接拼接 SQL。例如:

queryWrapper.eq("date_format(create_time, '%Y-%m-%d')", "2023-10-01");

最佳实践

  • 始终使用占位符

    • 使用 {0}{1} 等占位符,而不是直接拼接字符串。
  • 验证用户输入

    • 对用户输入进行严格的验证和过滤,确保其符合预期格式。
  • 使用安全的 API

    • 尽量使用 MyBatis-Plus 提供的安全方法(如 eqlike 等),而不是直接拼接 SQL。
  • 定期检查代码

    • 定期检查代码中是否存在直接拼接 SQL 的情况,及时修复潜在的安全问题。
  • 安全使用 apply 方法示例

    QueryWrapper queryWrapper = new QueryWrapper<>();
    String safeDate = "2023-10-01";
    queryWrapper.apply("date_format(create_time, '%Y-%m-%d') = {0}", safeDate);
    List
    userList = userMapper.selectList(queryWrapper);

    不安全使用 apply 方法示例(不推荐)

    QueryWrapper queryWrapper = new QueryWrapper<>();
    String unsafeDate = "2023-10-01'; DROP TABLE user; --";
    queryWrapper.apply("date_format(create_time, '%Y-%m-%d') = '" + unsafeDate + "'");
    List
    userList = userMapper.selectList(queryWrapper);

    总结

    • apply 方法可以安全使用,但必须通过占位符和参数化查询来避免 SQL 注入。
    • 避免直接拼接 SQL,始终对用户输入进行验证和过滤。
    • 使用 MyBatis-Plus 提供的工具类(如 SqlInjectionUtils)来检查输入的安全性。
    • 遵循最佳实践,确保代码的安全性和可维护性。

    转载地址:http://ffffk.baihongyu.com/

    你可能感兴趣的文章
    Mpvue小程序的最新规范
    查看>>
    mpvue的使用(一)必要的开发环境
    查看>>
    mpvue的使用(三)封装axios
    查看>>
    mpvue的使用(二)使用vant-weapp
    查看>>
    mq 消费慢处理方式,rocketmq消费慢如何处理,mq如何处理消费端消费速率慢。rocketmq优化
    查看>>
    MQ 重复消费如何解决?
    查看>>
    MQC功能测试大揭秘(4)- MQC 功能测试 DEMO
    查看>>
    mqtt broker服务端
    查看>>
    mqtt haproxy 代理及负载搭建
    查看>>
    MQTT v5共享订阅是怎么回事?如何使用共享订阅提高消息订阅的灵活性和可伸缩性?
    查看>>
    MQTT vs HTTP:谁更适合物联网?
    查看>>
    MQTT 保持活动计时器:让您的设备保持连接
    查看>>
    MQTT 保留消息
    查看>>
    MQTT 和 EMQX到底有啥区别?
    查看>>
    MQTT 在工控上位机中的应用
    查看>>
    MQTT 持久会话与 Clean Session 详解
    查看>>
    mqtt 获取所有topic_IoT 物联网平台自定义Topic同步调用RRPC实战(二)
    查看>>
    MQTT 通信协议详解与应用场景全解析
    查看>>
    MQTT介绍及与其他协议的比较
    查看>>
    MQTT共享订阅:实现高效的消息通信
    查看>>