MySql+Mybatis+Druid：sql injection violation, multi-statement not allow

做一个批量update的操作 ，sqlmap如下：

<update id="updateBatch" parameterType="java.util.List">
<foreach collection="list" item="item" index="index" open="" close="" separator=";">
update device_bd_token
<set>
access_token=#{item.accessToken}
</set>
where device_id = #{item.deviceId}
</foreach>
</update>

结果报错：
Caused by: java.sql.SQLException: sql injection violation, multi-statement not allow : update device_bd_token
SET access_token=?
where device_id = ?
;
update device_bd_token
SET access_token=?
where device_id = ?
at com.alibaba.druid.wall.WallFilter.check(WallFilter.java:714)
at com.alibaba.druid.wall.WallFilter.connection_prepareStatement(WallFilter.java:240)
at com.alibaba.druid.filter.FilterChainImpl.connection_prepareStatement(FilterChainImpl.java:448)
at com.alibaba.druid.filter.FilterAdapter.connection_prepareStatement(FilterAdapter.java:928)
at com.alibaba.druid.filter.FilterEventAdapter.connection_prepareStatement(FilterEventAdapter.java:122)
at com.alibaba.druid.filter.FilterChainImpl.connection_prepareStatement(FilterChainImpl.java:448)
at com.alibaba.druid.proxy.jdbc.ConnectionProxyImpl.prepareStatement(ConnectionProxyImpl.java:342)
at com.alibaba.druid.pool.DruidPooledConnection.prepareStatement(DruidPooledConnection.java:318)

刚开始以为是连接数据库的url上没有加上支持批量的参数，然后就改了下：
jdbc.url=jdbc:mysql://192.168.11.107:3306/alarm_db?allowMultiQueries=true&useUnicode=true&characterEncoding=UTF-8

结果还是同样的错误！但是在命令行直接执行又是没问题的，这就很奇怪了！

仔细看日志，好像是Druid的WallFilter.check()抛出来的，那就是说是Druid在做预编译的时候，给抛出的异常，还没有到mysql的服务器。

最终的解决办法是这样的：

<bean id="dataSourceOne" class="com.alibaba.druid.pool.DruidDataSource" destroy-method="close">
<property name="proxyFilters">
<list>
<ref bean="stat-filter" />
<ref bean="wall-filter"/>
</list>
</property>
</bean>

<bean id="wall-filter" class="com.alibaba.druid.wall.WallFilter">
<property name="config" ref="wall-config" />
</bean>

<bean id="wall-config" class="com.alibaba.druid.wall.WallConfig">
<property name="multiStatementAllow" value="true" />
</bean>

配置一个multiStatementAllow参数就可以了。

看下源码的处理：









也就是说，只要把config的multiStatementAllow设置为true就可以避免出现这样的错误了！

Druid配置的时候还有一个大坑就是，不要同时配置filters和proxyFilters，filter都是内置的，想通过proxyFilters来定制的话，就不要配置filters。

DruidDataSource继承了DruidAbstractDataSource，





可以看出来，既可以配置filters，也可以配置proxyFilters，不同的是，filters是字符串别名，proxyFilters是类。

我们继续看一下这些字符串的值应该是啥样的：









原来在这里：



这就是druid内置的所有的filter了，去掉前缀druid.filters就是别名了。