详解mybatis的#{}和${}的区别以及order by注入问题

古城微笑少年丶 2022-12-05 10:16 174阅读 0赞

直奔主题…

\#\{\}相当于jdbc中的preparedstatement

$\{\}是输出变量的值

你可能说不明所以,不要紧我们看2段代码:

String sql = "select * from admin_domain_location order by ?";
    PreparedStatement st = con.prepareStatement(sql);
    st.setString(1, "domain_id");
    System.out.println(st.toString());  
    ResultSet rs = st.executeQuery(); 
    while(rs.next()){  System.out.println(rs.getString("domain_id")); 
    }
    
    输出结果:
    com.mysql.jdbc.PreparedStatement@1fa1ba1: select * from admin_domain_location order by 'domain_id'
    3
    4
    5
    2
    6

这是个jdbc的preparedstatement例子,不要吐槽我这么写是否合法,这里只是为了说明问题.

以上例子有得出以下信息:

*  order by后面如果采用预编译的形式动态输入参数,那么实际插入的参数是一个字符串,例子中是:order by ‘domain\_id’
 *  输出结果并没有排序,从sql语句中的形式我们也可以推测出此sql语句根本也不合法(正常应该是 order by domain\_id)

修改以上代码如下:

String input = "domain_id";
    String sql = "select * from admin_domain_location order by "+input;
    PreparedStatement st = con.prepareStatement(sql);
    System.out.println(st.toString());
    ResultSet rs = st.executeQuery();
    while(rs.next()){
        System.out.println(rs.getString("domain_id"));
    }
    输出结果:
    com.mysql.jdbc.PreparedStatement@1fa1ba1: select * from admin_domain_location order by domain_id
    2
    3
    4
    5
    6

此次我们直接把一个变量的值拼接sql语句,从结果可以看出来:

*  sql语句拼接正常
 *  查询结果排序正常

你可能要问这和\#\{\}与$\{\}有什么关系…

上面已经说过\#\{\}相当于jdbc的preparedstatement,所以以上的第一个例子就相当于\#\{\},那么第二个例子就自然而然指的是$\{\}的情况.

你可能说思维还是有些凌乱,不要紧我们来看第三个例子:

String sql = "select * from admin_domain_location where domain_id=?";
    PreparedStatement st = con.prepareStatement(sql);
    st.setString(1, "2");
    System.out.println(st.toString());
    ResultSet rs = st.executeQuery();
    while(rs.next()){
        System.out.println(rs.getString("domain_id"));
    }
    ＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
    String input = "2";
    String sql = "select * from admin_domain_location where domain_id='"+input+"'";
    PreparedStatement st = con.prepareStatement(sql);
    System.out.println(st.toString());
    ResultSet rs = st.executeQuery();
    while(rs.next()){
        System.out.println(rs.getString("domain_id"));
    }
    
    输出结果都为：
    com.mysql.jdbc.PreparedStatement@12bf560: select * from admin_domain_location where domain_id='2'
    2

这第三个例子说的是\#\{\}和KaTeX parse error: Expected 'EOF', got '\#' at position 19: …用的问题,也就是说在此种情况下\#̲\{\}和\{\}是通用的,只不过需要些小的转换.如例子中需要手动

拼接单引号 ’ ’ 到变量值的前后,确保sql语句正常.

简单说\#\{\}是经过预编译的,是安全的,而$\{\}是未经过预编译的,仅仅是取变量的值,是非安全的,存在sql注入.

这里先说一下只能 的 情 况 , 从 我 们 前 面 的 例 子 中 也 能 看 出 , o r d e r b y 是 肯 定 只 能 用 \{\}的情况,从我们前面的例子中也能看出,order by是肯定只能用 的情况,从我们前面的例子中也能看出,orderby是肯定只能用\{\}了,用\#\{\}会多个’ '导致sql语句失效.此外还有一个like 语句后也需要用$\{\},简单想一下

就能明白.由于 仅 仅 是 简 单 的 取 值 , 所 以 以 前 s q l 注 入 的 方 法 适 用 此 处 , 如 果 我 们 o r d e r b y 语 句 后 用 了 \{\}仅仅是简单的取值,所以以前sql注入的方法适用此处,如果我们order by语句后用了 仅仅是简单的取值,所以以前sql注入的方法适用此处,如果我们orderby语句后用了\{\},那么不做任何处理的时候是存在sql注入危险的.你说怎么防止,那我只

能悲惨的告诉你,你得手动处理过滤一下输入的内容,如判断一下输入的参数的长度是否正常(注入语句一般很长),更精确的过滤则可以查询一下输入的参数是否在预期的参数集合中…