IBatis如何防范SQL 注入攻击？
网络安全
风险：
数据库资料被窃取，服务器被攻击者控制
漏洞1 示例：
在sqlmap中如下写法：
UnSafeBean b = (UnSafeBean)sqlMap.queryForObject(“value”, request.getParameter(“name”));
漏洞1 说明：
其中sqlmap方式是把$*$ 替换，假设用户输入 ‘;drop table admin–
那么翻译为本地SQL为
select * from table where name like ‘%’;drop table admin–%’
修补方法：
采用 #*# 的方式 sqlmap是采用 预编译方式处理
把转义操作交给数据库本身！
漏洞2 示例：
resultMap="PrivateShowroomProductResult" >
$OrderId$ $sortSeq$
String orderId = group.getField(“orderId”).getStringValue();
query.setOrderId(StringUtils.isNotBlank(orderId)?orderId:null);
PaginationQueryList
orderService.listCustomerOrderForMistinessQuery(query);
漏洞2 说明：
其中sqlmap方式是把$*$ 替换，假设用户输入 a;drop table admin–
那么翻译为本地SQL为
select * from PRIVATE_SHOWROOM_PRODUCT order by a;drop table admin–
修补方法：
resultMap="PrivateShowroomProductResult" >
$OrderId:METADATA$ $sortSeq:SQLKEYWORD$
同类其他面试题 点击新一篇或旧一篇可浏览全部同类面试题
旧一篇：什么是网络安全中的双因素认证？
