MyBatis之bind标签详解，bind预防SQL注入案例及详解

约定不等于承诺〃 2023-10-14 15:23 23阅读 0赞

#### 1、bind标签 ####

*  bind 标签可以使用 OGNL 表达式创建一个变量井将其绑定到上下文中

语法：

> **<bind name = "需要绑定的变量" value = "绑定的最终值" />**
> 
>  *  name：为上下文的变量，如SQL中存在\#\{userName\}变量，这里name就填写userName
>  *  value：绑定变量的最终值，如name="userName"，那么value就是\#\{userName\}的最终实际值，可以对传递的参数进行处理，如：value = " '%' + userName + '%' "，给传入的userName拼接前后%符号。

#### 2、作用 ####

**1>兼容不同数据库之间的SQL语法差异，对数据库迁移友好**

由于不同数据库的部分SQL写法存在差异，使用bind可以适配不同数据库之间的差异

如：模糊查询时，使用concat字符串拼接函数，在MySQL中支持多个参数，而Oracle中只能写两个参数，如下：

MySQL写法：

select id,serial from payment 
    where
    serial like concat("%",#{serial},"%")

Oracle写法：

select id,serial from payment
    where
    serial like concat("%",concat(#{serial},"%"))

因此，在Oracle迁移至MySQL时，会导致mybatis报错，我们可以使用bind标签直接兼容，如下：

select id,name from payment
    where
    <bind name="name" value="'%'+name+'%'" />
    name  like #{name}  --name实际是bind标签中的value

--------------------

**2>防止SQL注入**

以模糊查询为例，当我们不使用concat函数，直接使用SQL字符串拼接时，如下：

select id,serial from payment
    where
    serial like "%${serial}%"
    --注意：Oracle写法为："%"||${serial}||"%"

注意：这里只能为："%$\{serial\}%"，不能是"%\#\{serial\}%"

*  "%$\{serial\}%"：$\{serial\}会看成字符串占位符，当运行SQL时直接替换该部分
 *  "%\#\{serial\}%"：\#\{serial\}在字符串拼接时，不会生效，直接就是一个"%\#\{serial\}%"字符串

我们测试上述SQL模糊查询语句，SQL注入案例：

###### <1>MySQL存在payment表数据 ######

![31ff5b20982d4fa6b9fe4d877fac7e6f.png][]

###### <2>mybatis映射XML ######

<select id="getBySerial" resultMap="payMap">
        select id,serial from payment where
        serial like "%${serial}%"
    </select>

###### <3>controller接口 ######

service、dao层代码直接省略了，没有任何处理，直接会调用xml中的SQL

@RequestMapping("/payment/getBySerial")
    public R<List<PaymentDTO>> getBySerial(PaymentDTO dto){
    	return R.ok(paymentService.getBySerial(dto));
    }

###### <4>测试 ######

测试正常请求：**[http://127.0.0.1:6061/payment/getBySerial?serial=O][http_127.0.0.1_6061_payment_getBySerial_serial_O]**

此时执行的SQL语句为：

select id,serial from payment where
    serial like "%O%"

![448975c073594e0e871d55a65b1f450a.png][]

测试SQL注入请求：**http://127.0.0.1:6061/payment/getBySerial?serial=O" or 1=1 or "serial=O**

此时执行的SQL语句为：

select id,serial from payment where 
    serial like "%O" or 1=1 or "serial=O%"

！！！or 1 = 1 ：过滤条件直接失效，能获取到表中的所有数据！，如下：

###### ![ec2b7832d4d54db2a2faa91cf0bd722d.png][] ######

###### <5>bind防止SQL注入修改 ######

因此，上述写法我们不能使用\#\{\}去防止SQL注入，在不使用SQL函数和java代码不拼接%的情况下，我们想预防SQL注入，可以使用**bind标签+\#\{\}**去**替换**$**\{\}拼接方式**，案例如下：

*  更改xml中的SQL，其他代码不动：

select id,serial from payment where
    <bind name="serial" value="'%'+serial+'%'" />
    serial like #{serial}

继续测试：

测试正常请求：**[http://127.0.0.1:6061/payment/getBySerial?serial=O][http_127.0.0.1_6061_payment_getBySerial_serial_O]**

此时执行的SQL语句为：

![39597f8a8b77442c9aaee71991afe67a.png][]

请求结果：

![448975c073594e0e871d55a65b1f450a.png][]

测试SQL注入请求：**http://127.0.0.1:6061/payment/getBySerial?serial=O" or 1=1 or "serial=O**

此时执行的SQL语句为：

![8bec0ac7052a4f929853185d70d18a8c.png][]

结果如下：

![67899c67e6344b409177dd43c76899f3.png][]

[31ff5b20982d4fa6b9fe4d877fac7e6f.png]: https://img-blog.csdnimg.cn/31ff5b20982d4fa6b9fe4d877fac7e6f.png
[http_127.0.0.1_6061_payment_getBySerial_serial_O]: http://127.0.0.1:6061/payment/getBySerial?serial=O
[448975c073594e0e871d55a65b1f450a.png]: https://img-blog.csdnimg.cn/448975c073594e0e871d55a65b1f450a.png
[ec2b7832d4d54db2a2faa91cf0bd722d.png]: https://img-blog.csdnimg.cn/ec2b7832d4d54db2a2faa91cf0bd722d.png
[39597f8a8b77442c9aaee71991afe67a.png]: https://img-blog.csdnimg.cn/39597f8a8b77442c9aaee71991afe67a.png
[8bec0ac7052a4f929853185d70d18a8c.png]: https://img-blog.csdnimg.cn/8bec0ac7052a4f929853185d70d18a8c.png
[67899c67e6344b409177dd43c76899f3.png]: https://img-blog.csdnimg.cn/67899c67e6344b409177dd43c76899f3.png