关于Ibatis的自动防止SQL注入

假设用户执行
! y3 u2 m- m9 C- f, f- n7 O  
( t! @! ~; ~+ O# z7 W  S' b4 e select * from product where id = 5
  
这条语句。其中5是有用户输入的。
  
$ A: S7 {$ p  m" R& [ SQL注入的含义就是，一些捣蛋用户输入的不是5，而是
" O! j$ D& b- w2 |+ l  
5 s1 a' u% W+ e/ I3 b+ [# ?5 s  
  
* k  Y2 f. n+ U1 K7 o' Z, { 5;  delete  from  orders
  
  
  
那么原来的SQL语句将会变为，
  
  
select * from product where id=5;  delete  from  orders
.
  
在执行完select后，还将删除orders表里的所有记录。（如果他只删了这些记录，已经谢天谢地了，他可能会做更可怕地事情）。
! a6 e! \$ R+ i. ]  
  
  
& `! q) S* _- M! I% K 不过庆幸的是，Ibatis使用的是预编译语句（PreparedStatement
  `6 g4 T% y$ Q& _- a" u s ）。
  
上述语句会被编译为，
  
  
select * from product where id=?
0 [9 r6 [% i- N7 p7 }  
* n6 y/ G$ H- ?/ E0 f8 q 从而有效防止SQL注入。
  
  
4 |! {& q! X+ m. \$ v- B$ ]  
不过当你使用$占位符时就要注意了。
! H6 U& f$ C* t8 l, d: I  F0 J: D" A  
8 D' h7 }* g/ q" h* Z2 A: ?* I$ L 例如：动态的选择列和表
' y0 J$ A7 q* n4 v7 x9 K# m  
' i/ N, D$ |0 H3 Z  f  
SELECT * FROM $TABLE_NAME$ WHERE $COLUMN_NAME$ = #value#
8 K) j- s$ Y3 y! {2 G  
: d6 C0 B4 a. c* F' n 这时你一定要仔细过滤那些值以避免SQL注入。当然这种情况不只存在Ibatis中。
  
  参考资料：
6 l) r# x+ N, @+ O, ~6 {: J1 ]% U  
【iBATIS in Action】3.5.2 SQL injection

不知该说些什么。。。。。。就是谢谢

沙发！沙发!

相当不错，感谢无私分享精神！

沙发！沙发!

看帖回帖是美德！:lol

相当不错，感谢无私分享精神！

过来看看的,感谢攻城狮论坛