ibatis SQL注入问题

       

ibatis中要增加一个排序功能

按照惯性思维增加了这样的代码

<isNotNull prepend="," property="orderColumn">
    order by #orderColumn#
</isNotNull>

运行起来不符合预期

检查了生成了原始语句，发现组装成的SQL变成了　

order by 'name'

在orderColumn参数前后加上了引号，所以会不成功。

如果改成 order by $orderColumn$ 的话，因为$符表示的是拼接字符串，所以就变成了order by name，这样执行是没有问题的，但是可能会形成sql注入漏洞，因为order by 后的传入参数可能为

orderColumn,(select if(substring(user(),1,2)='xx',sleep(4),-1)) 这个执行的效果为当数据库用户名为的前两位为xx时，挂起4秒（这个挂起是每条挂起4秒，也就是说如果有5条记录，那么会挂起20秒）。这样可能会被黑客攻击。

 

改进方法基本就两种，一种是在ibatis的xml中配置条件判断，比如参数为1时排序字段为A，为2时排序字段为B。

<isNotNull property="model.orderType" >
                <isEqual property="model.orderType" compareValue="0" prepend="ORDER BY" removeFirstPrepend="true">
                    BEGIN_TIME DESC
                </isEqual>
                <isEqual property="model.orderType" compareValue="1" prepend="ORDER BY" removeFirstPrepend="true">
                    APPLY_BEGIN_TIME DESC
                </isEqual>
</isNotNull>

 还一种就是在DAO层判断，判断传入的参数值，比如可以用正则表达式判断参数值是否为大小写字母+下划线。