用 like concat 不用 like，为了防止sql注入；#{}和${}的区别和用法；#{}预防SQL注入的原理

news2024/11/13 15:25:11

一、like concat 和 like

mybatis中为了防止sql注入，使用like语句时并不是直接使用，而是使用concat函数
 <if test="goodName != null  and goodName != ''"> and good_name like concat('%', #{goodName}, '%')</if>
concat()函数

1、功能：将多个字符串连接成成一个字符串。

2、语法：concat(str1, str2,…)

说明：返回结果为连接参数产生的字符串，如果有任何一个参数为null，则返回值为null。

二、#{}是会加上双引号，而${}匹配的是真实的值

#{}匹配的是一个占位符，相当于JDBC中的一个?，会对一些敏感的字符进行过滤，编译过后会对传递的值加上双引号，因此可以防止SQL注入问题。$ {}匹配的是真实传递的值，传递过后，会与sql语句进行字符串拼接。$ {}会与其他sql进行字符串拼接，不能预防sql注入问题。

2.1 用 #，入参 {“name”:“124”} , 打出的sql日志加上双引号 good_name = ‘123’

  <select id="getGoods" resultMap="BaseResultMap">
        select
        id,
        good_name,
        good_code,
        storage,
        goodstype,
        count,
        remark,
        target_value,
        target_value_string,
        target_big,
        data_status,
        brand_code,
        send_time
        from goods
        where data_status = '0'
        <if test="name !=null and name !=''">
        and good_name = #{name}
        </if>
    </select>
select* from goods where data_status = '0' and good_name = '123'

2.2 用 $，入参 {“name”:“124”} , 打出的sql日志，直接传递 good_name =123 会报错的**

 <select id="getGoods" resultMap="BaseResultMap">
        select
        id,
        good_name,
        good_code,
        storage,
        goodstype,
        count,
        remark,
        target_value,
        target_value_string,
        target_big,
        data_status,
        brand_code,
        send_time
        from goods
        where data_status = '0'
        <if test="name !=null and name !=''">
        and good_name = ${name}
        </if>
    </select>
    -- 报错的，good_name 字段是varchar类型，传整型 123 肯定报错。
select* from goods where data_status = '0' and good_name = 123

如果 {"name":"null"} ,打出的日志：select* from goods where data_status = '0' and good_name = null ； 什么结果都查不出

如果入参是  {"name":"null or 1=1"} 
select*from goods g  where data_status = '0' and good_name = null or 1=1; 就能查出所有数据了，sql注入风险

如果是 delete from user  goods  where data_status = '0' and good_name = null or 1=1，那就删除所有数据了

2.3 ${} 的使用场景

$ {}也有用武之地，我们都知道${}会产生字符串拼接，来生成一个新的字符串。

例如现在要进行模糊查询，查询user表中姓张的所有员工的信息。

sql语句为：select * from user where name like '张%'

此时如果传入的参数是 “张”
如果使用$ {}：select * from user where name like '${value}%'

生成的sql语句：select * from user where name like '张%'

如果使用#{}：select * from user where name like #{value}"%"

生成的sql语句：select * from user where name like '张'"%"

如果传入的参数是 “张%”
使用#{}：select * from user where name like #{value}

生成的sql语句：select * from user where name like '张%'

使用$ {}：select * from user where name like '${value}'

生成的sql语句：select * from user where name like '张%'

在这里插入图片描述

sql日志：       select*from user
				select*from user

2.4 #{}能够预防SQL注入的原理

MyBatis的#{}之所以能够预防SQL注入是因为底层使用了PreparedStatement类的setString()方法来设置参数，此方法会获取传递进来的参数的每个字符，然后进行循环对比，如果发现有敏感字符（如：单引号、双引号等），则会在前面加上一个’/'代表转义此符号，让其变为一个普通的字符串，不参与SQL语句的生成，达到防止SQL注入的效果。