ibatis解决sql注入问题
2014-04-11 17:16
99 查看
原文: /article/2589800.html
对于ibaits参数引用可以使用#和$两种写法,其中#写法会采用预编译方式,将转义交给了数据库,不会出现注入问题;如果采用$写法,则相当于拼接字符串,会出现注入问题。例如,如果属性值为“' or '1'='1 ”,采用#写法没有问题,采用$写法就会有问题。
对于like语句,难免要使用$写法,
1. 对于Oracle可以通过'%'||#param#||'%'避免;
2. 对于MySQL可以通过CONCAT('%',#param#,'%')避免;
3. MSSQL中通过'%'+#param#+'% 。
如下3种SQL语句:
1 mysql: select * from t_user where name like concat('%',#name #,'%')
2
3 oracle: select * from t_user where name like '%'||#name #||'%'
4
5 SQL Server:select * from t_user where name like '%'+#name #+'%
补充:
例子如:
name like '%'||#name#||'%' (不会被注入)
等于
name like '%$name$%'(会被注入)
相关文章推荐
- (转载)ibatis:解决sql注入问题
- ibatis解决sql注入问题 .
- ibatis解决sql注入问题
- ibatis解决sql注入问题 .
- ibatis解决sql注入问题
- iBatis解决sql注入问题的方法
- ibatis解决sql注入问题
- 通过ibatis解决sql注入问题
- ibatis解决sql注入问题
- ibatis解决sql注入问题
- 解决Ibatis一对多映射n+1问题
- 错误代码:WLTC0032W ibatis作为持久层,websphere 报告连接没有提交错误,问题的解决以及产生的原因
- IBatis.Net 学习中遇到的问题及解决办法
- 学习mybatis框架中遇到org.apache.ibatis.exceptions.PersistenceException: 问题该怎么解决
- 利用ibatis的自定义类型解决中文乱码问题
- iBATIS一对多/多对多N+1问题解决方案
- JAVAWeb、 Easyui、Ibatis、Oracle项目遇到问题及解决方法
- iBatis的SQL注入问题
- iBatis解决自动防止sql注入
- 数据库之解决SQL注入问题