用mybatis防止sql注入的安全方法

Question

我在mybatis查询中使用“$”表示法：

<select id="queryOrgs" resultMap="orgLiteMap" parameterType="gov.cbrc.gzbanking.data.QueryRequest" >
        select id, name from sys_orgs
        <if test="filter != null">where id like #{filter, jdbcType=INTEGER} or name like #{filter, jdbcType=INTEGER}</if>
        <if test="order != null">order by ${order}</if>
        limit #{offset, jdbcType=INTEGER},#{fetch, jdbcType=INTEGER}
     </select>

order参数可以是类似于“id desc”的东西，我需要担心这里的sql注入吗？我们知道mybatis使用PreparedStatement，如果mybatis针对“select”语句调用PreparedStatement#executeQuery()，或者jdbc驱动程序实现不允许在一次调用中使用多个语句，那么sql注入是不可能的，对吗？

这是否足以检查order参数有sql分隔符？

Answer 1

如果订单直接来自用户，您可能会遇到麻烦。你永远不应该相信用户的输入。

回答您的问题：

• 如果不允许多个查询，如果尝试运行多个查询，则会出现异常；
• 检查SQL分隔符可能就够了，也可能不够；

null

String userChoice = order.toLowerCase();
String safeOrder = null;

if ("id desc".equals(userChoice)) {
    safeOrder = "id desc";
} else if ("id asc".equals(userChoice)) {
    safeOrder = "id asc";
....
....
} else if ("name desc".equals(userChoice)) {
    safeOrder = "name desc";
} else {
    // if no clean match then maybe user tried something fishy... 
    // ... go with some default 
    safeOrder = "id desc"; // or null or whatever you like...
}

然后在映射中进行：

<if test="safeOrder != null">order by ${safeOrder}</if>