MyBatis 如何防止 SQL 注入?

Mybatis面试题 5月前 0 58

在MyBatis中，防止SQL注入的主要方法是使用预处理语句（PreparedStatement）。

预处理语句主要使用占位符?来代替直接的字符串拼接，然后通过设置参数来替换这些占位符。这种方式可以有效防止SQL注入，因为用户输入的内容不会直接拼接到SQL语句中，而是作为参数来处理。

例如，下面是一个MyBatis的XML映射文件中的例子：

<select id="findUserByName" parameterType="string" resultType="User">
  SELECT * FROM users WHERE name = #{name}
</select>

在上面的例子中，#{name}就是一个占位符，MyBatis会自动将这个占位符替换为预处理语句中的一个参数。当我们调用这个查询方法，并传入一个参数时，MyBatis会使用这个参数替换掉占位符，并将参数值作为预处理语句的参数来设置，从而避免了SQL注入。

需要注意的是，虽然预处理语句可以有效防止SQL注入，但是如果我们在SQL语句中直接拼接用户输入的字符串，那么就可能导致SQL注入。因此，我们在编写SQL语句时，应该尽量避免直接拼接字符串，而应该使用预处理语句和占位符。