MybatisPlus是否防止SQL注入？

问

如果我希望使用mybatisplus同时也进行防SQL注入操作，应该怎么处理？

答

如果你想在使用 MyBatis-Plus 进行数据库操作的同时也进行防 SQL 注入处理，可以采用以下两种方式：

1. 使用 #{} 占位符：在 QueryWrapper 或 UpdateWrapper 中使用 #{} 占位符，MyBatis 会自动对占位符进行预处理，避免 SQL 注入攻击。例如：

   QueryWrapper<SysRolePO> wrapper = new QueryWrapper<>();
   wrapper.eq("role_name", roleName);
   

   上述代码中，将字符串 “role_name” 和变量 roleName 传入了 QueryWrapper 的 eq 方法中。在实际拼接 SQL 语句时，MyBatis 会将占位符 #{} 替换为对应的值，并对值进行预处理，避免 SQL 注入攻击。

2. 使用 MyBatis-Plus 提供的防注入方法：MyBatis-Plus 提供了防注入的方法，可以在拼接 SQL 语句时自动对参数进行转义，避免 SQL 注入攻击。例如：

   QueryWrapper<SysRolePO> wrapper = new QueryWrapper<>();
   wrapper.eq(true, "role_name", SqlUtils.sqlInject(roleName));
   

   上述代码中，将字符串 “role_name” 和变量 roleName 传入了 QueryWrapper 的 eq 方法中，并使用 SqlUtils.sqlInject 方法对变量进行了防注入处理。在实际拼接 SQL 语句时，SqlUtils.sqlInject 方法会对参数进行转义，避免 SQL 注入攻击。

无论采用哪种方式，都需要注意避免 SQL 注入攻击。建议尽量使用 #{} 占位符进行参数传递，或者对参数进行预处理和转义等操作，提高应用的安全性。

问

roleName的值进行举例

答

好的，我这里举个例子，假设现在有一个 SysRolePO 类，其中有一个 roleName 属性，假设 roleName 的值为 “管理员”，那么在使用 MyBatis-Plus 进行防 SQL 注入处理时，可以采用以下两种方式：

1. 使用 #{} 占位符：

   QueryWrapper<SysRolePO> wrapper = new QueryWrapper<>();
   wrapper.eq("role_name", roleName);
   

   上述代码中，将字符串 “role_name” 和变量 roleName 传入了 QueryWrapper 的 eq 方法中。在实际拼接 SQL 语句时，MyBatis 会将占位符 #{} 替换为对应的值，并对值进行预处理，避免 SQL 注入攻击。

2. 使用 MyBatis-Plus 提供的防注入方法：

   QueryWrapper<SysRolePO> wrapper = new QueryWrapper<>();
   wrapper.eq(true, "role_name", SqlUtils.sqlInject(roleName));
   

   上述代码中，将字符串 “role_name” 和变量 roleName 传入了 QueryWrapper 的 eq 方法中，并使用 SqlUtils.sqlInject 方法对变量进行了防注入处理。在实际拼接 SQL 语句时，SqlUtils.sqlInject 方法会对参数进行转义，避免 SQL 注入攻击。

以上两种方式都可以对 roleName 的值进行防 SQL 注入处理，提高应用的安全性。

问

使用 #{} 占位符是指将"#{管理员}"作为roleName的值吗？

答

不是的，使用 #{} 占位符是将占位符 #{} 作为参数的标识符，在 SQL 语句执行之前，MyBatis 会将 #{} 替换成一个问号 ?，并对参数进行预处理，防止 SQL 注入攻击。也就是说，使用 #{} 占位符可以将参数值与 SQL 语句分离开来，提高应用的安全性。

因此，在使用 #{} 占位符的情况下，假设 roleName 的值为 “管理员”，对应的代码应该是：

QueryWrapper<SysRolePO> wrapper = new QueryWrapper<>();
wrapper.eq("role_name", "#{roleName}");

在执行 SQL 语句时，MyBatis 会将占位符 #{} 替换成一个问号 ?，并对参数进行预处理，最终执行的 SQL 语句类似于：

SELECT * FROM sys_role WHERE role_name = ?

然后，MyBatis 会将参数值 “管理员” 传入 SQL 语句中的问号 ? 中，并对参数进行预处理，避免 SQL 注入攻击。