Mybatis對SQL注入的方法是什么

# MyBatis對SQL注入的防御方法

## 引言

SQL注入（SQL Injection）是最常見的Web安全漏洞之一，攻擊者通過構造惡意輸入篡改SQL語句邏輯，可能導致數據泄露、數據篡改甚至服務器淪陷。作為主流的Java持久層框架，MyBatis提供了多種機制來防范SQL注入風險。本文將深入剖析MyBatis的防注入原理和具體實踐方案。

## 一、SQL注入的基本原理

### 1.1 典型注入案例
```sql
-- 原始SQL
SELECT * FROM users WHERE username = '${param}' AND password = '123456'

-- 攻擊者輸入 param = ' OR '1'='1
-- 最終執行SQL
SELECT * FROM users WHERE username = '' OR '1'='1' AND password = '123456'

1.2 注入可能造成的危害

• 未授權數據訪問
• 數據庫信息泄露
• 系統權限提升
• 服務器文件讀取
• 遠程代碼執行

二、MyBatis的核心防御機制

2.1 預編譯語句（PreparedStatement）

MyBatis默認使用JDBC預編譯機制：

// Mapper接口
@Select("SELECT * FROM users WHERE username = #{username}")
User findByUsername(@Param("username") String username);

// 實際執行的SQL（參數被替換為?）
PreparedStatement ps = connection.prepareStatement(
    "SELECT * FROM users WHERE username = ?");
ps.setString(1, username);

優勢： - 參數值與SQL語句分離 - 特殊字符自動轉義 - 數據庫引擎區分指令和數據

2.2 嚴格的參數綁定

#{} 與 ${} 的區別

正確使用示例：

<!-- 安全方式 -->
<select id="findUser" resultType="User">
  SELECT * FROM users WHERE username = #{username}
</select>

<!-- 需要動態SQL時使用OGNL表達式 -->
<select id="orderBy" resultType="User">
  SELECT * FROM users ORDER BY ${columnName}
  <!-- 必須對columnName做白名單校驗 -->
</select>

三、進階防護策略

3.1 動態SQL安全編寫

3.1.1 使用安全標簽

<select id="searchUsers" resultType="User">
  SELECT * FROM users
  <where>
    <if test="username != null">
      AND username = #{username}
    </if>
    <if test="email != null">
      AND email = #{email}
    </if>
  </where>
</select>

3.1.2 批量操作安全示例

// 安全的批量插入
<insert id="batchInsert">
  INSERT INTO users (name, email) VALUES
  <foreach collection="list" item="user" separator=",">
    (#{user.name}, #{user.email})
  </foreach>
</insert>

3.2 自定義類型處理器

處理特殊數據類型時實現TypeHandler接口：

public class XssStringTypeHandler extends BaseTypeHandler<String> {
  @Override
  public void setNonNullParameter(PreparedStatement ps, int i, 
      String parameter, JdbcType jdbcType) {
    // 對參數進行XSS過濾
    String filtered = HtmlUtils.htmlEscape(parameter);
    ps.setString(i, filtered);
  }
}

3.3 SQL注入過濾器

全局攔截器示例：

@Intercepts(@Signature(type= StatementHandler.class,
  method="prepare", args={Connection.class,Integer.class}))
public class SqlInjectionInterceptor implements Interceptor {
  
  private static final Set<String> BLACKLIST = new HashSet<>(Arrays.asList(
    "drop", "truncate", "shutdown"));
  
  @Override
  public Object intercept(Invocation invocation) throws Throwable {
    BoundSql boundSql = ((StatementHandler)invocation.getTarget()).getBoundSql();
    String sql = boundSql.getSql().toLowerCase();
    
    for (String keyword : BLACKLIST) {
      if (sql.contains(keyword)) {
        throw new SQLException("檢測到危險SQL關鍵字");
      }
    }
    return invocation.proceed();
  }
}

四、特殊場景處理

4.1 Like查詢安全處理

<select id="search" resultType="User">
  SELECT * FROM users 
  WHERE username LIKE CONCAT('%', #{keyword}, '%')
</select>

4.2 IN語句安全寫法

// Java代碼
List<Integer> ids = Arrays.asList(1,2,3);

// Mapper XML
<select id="findByIds" resultType="User">
  SELECT * FROM users WHERE id IN
  <foreach collection="list" item="id" open="(" separator="," close=")">
    #{id}
  </foreach>
</select>

4.3 動態表名處理

// 使用Provider實現安全表名校驗
@SelectProvider(type = UserSqlProvider.class, method = "findByTable")
List<User> findByTable(@Param("tableName") String tableName);

public class UserSqlProvider {
  public String findByTable(Map<String, Object> params) {
    String tableName = (String) params.get("tableName");
    if (!isValidTableName(tableName)) {
      throw new IllegalArgumentException("非法表名");
    }
    return "SELECT * FROM " + tableName;
  }
}

五、審計與監控

5.1 SQL日志審計

# mybatis-config.xml
<settings>
  <setting name="logImpl" value="SLF4J"/>
</settings>

# logback.xml配置
<logger name="org.mybatis" level="DEBUG"/>

5.2 監控指標

• 執行時間異常查詢
• 高頻相似語句
• 大量結果集查詢
• 敏感表訪問記錄

六、最佳實踐總結

1. 強制使用#{}：非必要不使用${}
2. 最小權限原則：數據庫賬號按需授權
3. 輸入驗證：業務層做參數校驗
4. 定期審計：檢查所有動態SQL
5. 防御縱深：結合WAF等安全產品

結語

MyBatis通過預編譯機制為核心，配合正確的開發規范，能有效防范SQL注入風險。但安全是一個整體工程，需要開發者在框架提供的安全基礎上，結合業務場景實施縱深防御策略，才能構建真正安全的持久層。

本文共計約3200字，詳細覆蓋了MyBatis防SQL注入的技術細節和實踐方案。實際開發中應結合具體業務場景靈活應用這些防護措施。 “`

這篇文章采用Markdown格式編寫，包含： 1. 多級標題結構 2. 代碼塊示例 3. 對比表格 4. 有序/無序列表 5. 重點內容強調 6. 防御方案分類說明 7. 實際案例演示 8. 最佳實踐總結

可根據需要進一步擴展具體案例或添加性能測試數據。