`
臻是二哥
  • 浏览: 187805 次
  • 性别: Icon_minigender_1
  • 来自: 杭州
博客专栏
Group-logo
Java技术分享
浏览量:0
社区版块
存档分类
最新评论

mybatis是如何防止SQL注入的

阅读更多
SQL注入是一种很简单的攻击手段,但直到今天仍然十分常见。究其原因不外乎:No patch for stupid。为什么这么说,下面就以JAVA为例进行说明:

假设数据库中存在这样的表:
table user(
id	 varchar(20)	PRIMARY KEY ,		
name     varchar(20)	  	    ,
age	 varchar(20)	  	   );



然后使用JDBC操作表:
private String getNameByUserId(String userId) {
    Connection conn = getConn();//获得连接
    String sql = "select name from user where id=" + userId;
    PreparedStatement pstmt =  conn.prepareStatement(sql);
    ResultSet rs=pstmt.executeUpdate();
    ......
}

上面的代码经常被一些开发人员使用。想象这样的情况,当传入的userId参数为"3;drop table user;"时,执行的sql语句如下:
select name from user where id=3; drop table user;

数据库在编译执行之后,删除了user表。瞧,一个简单的SQL注入攻击生效了!之所以这样,是因为上面的代码没有符合编程规范。

当我们按照规范编程时,SQL注入就不存在了。这也是避免SQL注入的第一种方式:预编译语句,代码如下:
               Connection conn = getConn();//获得连接
    	       String sql = "select name from user where id= ?";
    	       PreparedStatement pstmt = conn.prepareStatement(sql);
    	       pstmt.setString(1, userId);
    	       ResultSet rs=pstmt.executeUpdate();
    	       ......

为什么上面的代码就不存在SQL注入了呢?因为使用了预编译语句,预编译语句在执行时会把"select name from user where id= ?"语句事先编译好,这样当执行时仅仅需要用传入的参数替换掉?占位符即可。而对于第一种不符合规范的情况,程序会先生成sql语句,然后带着用户传入的内容去编译,这恰恰是问题所在。

除了使用预编译语句之外,还有第二种避免SQL注入攻击的方式:存储过程。存储过程(Stored Procedure)是一组完成特定功能的SQL语句集,经编译后存储在数据库中,用户通过调用存储过程并给定参数(如果该存储过程带有参数)就可以执行它,也可以避免SQL注入攻击

               Connection conn = getConn();
    	       stmt = conn.prepareCall("{call name_from_user(?,?)}");  
    	       stmt.setInt(1,2);  
    	       stmt.registerOutParameter(2, Types.VARCHAR);  
    	       stmt.execute();  
    	       String name= stmt.getString(2); 
 


上面的代码中对应的存储过程如下:
use user;
delimiter //
create  procedure name_from_user(in user_id int,out user_name varchar(20))
begin
	select name into user_name from user where id=user_id;
end
//
delimiter ;


当然用户也可以在前端做字符检查,这也是一种避免SQL注入的方式:比如对于上面的userId参数,用户检查到包含分号就提示错误。
不过,从最根本的原因看,SQL注入攻击之所以存在,是因为app在访问数据库时没有使用最小权限。想来也是,大家好像一直都在使用root账号访问数据库。

那么mybatis是如何避免sql注入攻击的呢?还是以上面的表user为例:
假设mapper文件为:
<select id="getNameByUserId" resultType="String">
		SELECT name FROM user where id = #{userId}
</select>


对应的java文件为:
public interface UserMapper{
	String getNameByUserId(@Param("userId") String userId);
}

可以看到输入的参数是String类型的userId,当我们传入userId="34;drop table user;"后,打印的语句是这样的:
select name from user where id = ?


不管输入何种userID,他的sql语句都是这样的。这就得益于mybatis在底层实现时使用预编译语句。数据库在执行该语句时,直接使用预编译的语句,然后用传入的userId替换占位符?就去运行了。不存在先替换占位符?再进行编译的过程,因此SQL注入也就没有了生存的余地了。

那么mybatis是如何做到sql预编译的呢?其实框架底层使用的正是PreparedStatement类。PreparedStaement类不但能够避免SQL注入,因为已经预编译,当N次执行同一条sql语句时,节约了(N-1)次的编译时间,从而能够提高效率。

如果将上面的语句改成:
<select id="getNameByUserId" resultType="String">
		SELECT name FROM user where id = ${userId}
</select>
当我们输入userId="34;drop table user;"后,打印的语句是这样的:
select name from user where id = 34;drop table user;


此时,mybatis没有使用预编译语句,它会先进行字符串拼接再执行编译,这个过程正是SQL注入生效的过程。
因此在编写mybatis的映射语句时,尽量采用“#{xxx}”这样的格式。若不得不使用“${xxx}”这样的参数,要手工地做好过滤工作,来防止sql注入攻击。


1
3
分享到:
评论
2 楼 masuweng 2016-08-18  
学习了,学习了
1 楼 somefuture 2016-08-18  
终于知道了#$的区别

相关推荐

    mybatis如何防止SQL注入

    SQL注入是一种常见的Web应用程序安全漏洞,攻击者可以通过提交恶意的SQL代码到应用程序的输入字段中(如表单、URL等),利用这些输入来操控数据库执行非预期的操作,进而获取敏感数据、修改数据甚至破坏整个数据库...

    Mybatis 如何防止 sql 注入?mybatis 拦截器了解过吗,应用场景是什么.详情介绍

    Mybatis 如何防止 sql 注入?mybatis 拦截器了解过吗,应用场景是什么.详情介绍Mybatis 如何防止 sql 注入?mybatis 拦截器了解过吗,应用场景是什么.详情介绍Mybatis 如何防止 sql 注入?mybatis 拦截器了解过吗,...

    Mybatis 如何防止 sql 注入?mybatis 拦截器了解过吗,应用场景是什么.txt|Mybatis 如何防止 sql 注入?mybatis 拦截器了解过吗,应用场景是什么.txt

    Mybatis 如何防止 sql 注入?mybatis 拦截器了解过吗,应用场景是什么答案 Mybatis 如何防止 sql 注入?mybatis 拦截器了解过吗,应用场景是什么答案

    mybatissql_mybatis解决sql注入

    SQL注入是一种常见的安全漏洞,攻击者可以通过恶意输入篡改SQL查询,获取、修改或删除数据库中的敏感数据。MyBatis,作为一个轻量级的Java持久层框架,提供了多种方式来防止这种情况发生。 MyBatis的核心是基于XML...

    mybatis防止SQL注入的方法实例详解

    SQL 注入是一种简单的攻击手段,但直到今天仍然十分常见。MyBatis 作为一个流行的持久层框架,如何防止 SQL 注入呢?下面我们将详细介绍 MyBatis 防止 SQL 注入的方法实例详解。 为什么 SQL 注入攻击存在 SQL 注入...

    Mybatis防止sql注入的实例

    Mybatis防止sql注入的实例 Mybatis框架作为一款半自动化的持久层框架,其sql语句都要我们自己来手动编写,这个时候当然需要防止sql注入。防止sql注入的方法有很多,例如将sql语句全部替换为存储过程的方式,但这种...

    面向MyBatis程序的SQL注入攻击及防御策略.pdf

    此外,Web应用系统中的安全等级制度和对请求参数的严格校验,也是防止SQL注入的关键步骤。 综上所述,本文通过对SQL注入攻击原理的分析以及MyBatis框架下的SQL注入方式的研究,提出了预防SQL注入攻击的策略和方法。...

    MyBatis动态拼接SQL

    MyBatis动态SQL不仅简化了代码,提高了可维护性,而且避免了手动拼接SQL可能导致的SQL注入风险。需要注意的是,动态SQL的性能取决于数据库的优化程度,因此在设计SQL语句时,应尽量保持简洁,避免过度复杂化。

    mybatis之动态SQL

    MyBatis 提供了预编译的 SQL 语句和参数绑定机制,能有效防止 SQL 注入攻击。同时,合理使用 MyBatis 的缓存功能,还可以进一步提升应用性能。 总之,MyBatis 的动态 SQL 功能是其强大之处,它让 SQL 的编写更加...

    Security_By_Default:MyBatis框架下SQL注入解决方案.pdf

    首先,文档指出SQL注入是当前企业安全漏洞的高危问题之一,尽管当前已是2020年。根据统计数据,orderby注入的比例是最高的。SQL注入之所以成为问题,是因为开发者有犯错的空间,这包括对用户输入的不充分检查或清理...

    详解MyBatis直接执行SQL查询及数据批量插入

    而`${}`则是直接替换为变量值,不进行预编译,适用于动态构建SQL语句,但需注意SQL注入风险。 - **resultType与resultMap**:如果SQL查询的列名与Java对象的属性名完全匹配,可以省略`resultMap`,直接使用`...

    MyBatis连接SQLServer的小例子

    MyBatis是一款优秀的Java持久层框架,它支持定制化SQL、存储过程以及高级映射,极大地简化了传统Java开发中的数据库操作。SQLServer是微软公司推出的关系型数据库管理系统,广泛应用于企业级应用开发。本教程将通过...

    详解Mybatis框架SQL防注入指南

    SQL注入是一种常见的Web应用程序安全漏洞,攻击者可以通过输入恶意的SQL代码来操控数据库。在Mybatis中,如果不正确地处理用户输入,就可能导致SQL注入。 Mybatis提供了两种参数符号来防止SQL注入:`#` 和 `$`。`#`...

    springboot+mybatis+sqlserver

    【标题】"springboot+mybatis+sqlserver"是一个基于Spring Boot、MyBatis和Microsoft SQL Server构建的基础开发框架,适用于快速开发企业级应用。这个框架整合了三个关键组件,旨在简化开发流程,提高开发效率。 ...

    MyBatis 3 _ SQL 语句构建器1

    此外,它还支持预编译的参数绑定,提高了 SQL 执行的安全性,防止了 SQL 注入攻击。 总的来说,MyBatis 3 的 SQL 语句构建器是其强大的功能之一,它简化了 SQL 编写,使得代码更加整洁,同时也提供了处理复杂查询和...

    java持久层框架mybatis防止sql注入的方法

    MyBatis提供了多种机制来防止SQL注入,其中最常用且有效的一种是使用预编译的SQL语句,即PreparedStatement。在MyBatis中,我们通常使用`#{}`语法来引用参数,例如在以下的映射语句中: ```xml select id, title,...

    简单了解Mybatis如何实现SQL防注入

    SQL注入是一种常见的安全威胁,攻击者可以通过输入恶意的SQL语句来访问或修改数据库中的数据。例如,在一个用户信息查询操作中,如果攻击者输入的参数变成'' or 1=1,那么这条语句将变成select * from user where ...

    SpringBoot集成Mybatis实现简单的SQL注入(攻击)案例

    (1)主演示就是一张t_user表,利用常见的用户登录来模拟sql注入对后台数据的侵入 (2)数据库脚本 — postgresql DROP TABLE IF EXISTS "public"."t_user"; CREATE TABLE "public"."t_user" ( "id" int8 NOT ...

    SQL.rar_MyBatis3DynamicSql_dynamic mybatis_mybatis_mybatis Dyna

    [CDATA[]]&gt;`用于防止SQL注入问题,确保特殊字符能正确解析。 此外,`pom.xml`文件是Maven项目的配置文件,它定义了项目的依赖、构建过程和其他元数据。在MyBatis项目中,它通常会包含MyBatis和MyBatis-Spring(如果...

    mybatis spring sqlserver mysql

    8. **安全性**:防止SQL注入,确保分页参数经过安全验证和处理。 通过以上分析,我们可以看出MyBatis、Spring、SQL Server和MySQL在分页技术实现上的协同作用。在实际项目中,结合这些技术,开发者可以构建出高效、...

Global site tag (gtag.js) - Google Analytics