对于初学者：春季靴子和Mybatis练习！ SQL注入风险和预防

从用户中选择count（*）> 0，其中用户名='admin'和password ='password';

从用户中选择count（*）> 0，其中用户名='''或'1'='1' - 和password ='任何值';

@Select（“ select count（*）> 0从用户中的用户='$ {username}'和password ='$ {password}'”）boolean vileean vileanableAuthenticate（@param（@param（ @username'userName“）字符串userName，@param（@param（@param）（ @parem @parem（pary））字符串password）;

@Select（“选择count（*）> 0从用户中的用户=＃{username}和password =＃{password}”）boolean secureauthenticate（@param（@param（“ username”）字符串用户名，@param（param（“ passworm”）

如果（！username.matches（“^[a-za-z0-9]+$”））{抛出新的illegalargumentException（“无效输入”）; }

public String buildwhereClause（字符串用户名，字符串电子邮件）{字符串whereclause =“ whene 1 = 1”;如果（用户名！= null）{whereclause + =“ and username ='“ + username +”'''; } if（email！= null）{whereclause + =“ and email ='” + email +“'”; }返回whereclause; } @Select（“从用户$ {whereclause}”）列表<User>findusers（@param（“ whereclause”）字符串whereclause）;

<select id="findUsers" resultType="User">从用户中选择 * 1 = 1<if test="username != null">和用户名=＃{用户名}</if><if test="email != null">和电子邮件=＃{电子邮件}</if></select>

包com.youtube.security.app.security_demo.controller;导入com.youtube.security.app.security_demo.repository.sqlindoctionmapper;导入org.springframework.web.bind.annotation.postmapping;导入org.springframework.web.bind.annotation.requestparam;导入org.springframework.web.bind.annotation.restcontroller; /** *该控制器显示了SQL注入漏洞是如何出现的，并使用 * mybatis提供了安全实现。 * * SQL注入是一种攻击，它通过将恶意SQL代码注入查询来使 *任意SQL语句成为可能。 * *安全实施示例： *  - 使用占位符的参数化查询 *  - >通过使用占位符（＃{}）而不是直接将用户输入嵌入查询中。 *  - 通过限制用户可以输入的字符的类型，删除和逃避危险的字符和符号来验证和消毒用户输入 *  - >提高安全性。 *  - 避免使用字符串操作的动态SQL生成 *  - >使用字符串操作（+ Operators and String.format）组装动态SQL时会增加SQL注入的风险。 *  - >以安全的方式组装查询非常重要，而不是通过字符串操作动态生成它们。 *  - > mybatis默认设计是为了避免使用字符串操纵直接构造查询的方式。 * * *该课程应仅用于教育目的。 */ @restController public Class sqlindoctionController {private final final sqlindoctionmapper sqlindoctionmapper; public sqlindoctionController（sqlindoctionmapper sqlindoctionmapper）{this.sqlindoctionmapper = sqlindoctionmapper; } /***使用mybatis的脆弱查询示例。 * * @param用户名用户名 * @param密码 * @return登录结果（成功或失败） */@postmapping（“/login/login/loginable”）public String bulivnerablelogin（@requestparam string username，@requestparam username，@requestparam claste） sqlindoctionmapper.vulnerableauthenticate（用户名，密码）;返回疑才能？ “成功登录（脆弱的实现）”：“登录失败（脆弱的实现）”； } /***使用Mybatis运行参数化查询。 * * @param用户名用户名 * @param密码 * @return登录结果（成功或失败） */@postmapping（“/login/login/secure”）public string securelogin（@requestparam string userName，@requestparam username，@requestparam string string）返回疑才能？ “成功登录（安全实施）”：“登录失败（安全实现）”； }}}

包com.youtube.security.app.security_demo.repository;导入org.apache.ibatis.annotations.mapper;导入org.apache.ibatis.annotations.param;导入org.apache.ibatis.annotations.select; @mapper public Interface sqlindoctionmapper { /***执行脆弱的SQL查询的方法。 * @param用户名 * @param密码 * @return如果身份验证成功，则为false，如果失败 */ @Select（“ select count（ *）> 0，则来自用户中的用户='$ {username}'and password ='$ {passwork}'$ {passwork}'' /***执行安全SQL查询的方法。 * @param用户名用户名 * @param密码密码 * @return如果身份验证成功，则为false，如果失败 */ @select（“ select count（ *） }