使用Mybatis检查SQL注入的输入

Question

public class UserNamesQuery {

   public static String getUserNames(Map<String, Object> params) {
       String userNames = (String) params.get("userNames");
       return "SELECT * FROM users WHERE name IN (" + userNames + ") ";
   }

}

注意我使用Mybatis

Answer 1

不。没有办法。也没必要。

坦率地说，并不存在“SQL注入”这样的东西。只有对格式不正确的查询的攻击。

因此，与其寻找任何“注入”，不如通过使用准备好的语句正确地格式化查询。