IBatis如何防范SQL 注入攻击？

风险：
数据库资料被窃取，服务器被攻击者控制
漏洞1 示例：
在sqlmap中如下写法：

select * from table where name like ‘%$value$%’

UnSafeBean b = (UnSafeBean)sqlMap.queryForObject(“value”, request.getParameter(“name”));
漏洞1 说明：
其中sqlmap方式是把$*$ 替换，假设用户输入 ‘;drop table admin–
那么翻译为本地SQL为
select * from table where name like ‘%’;drop table admin–%’
修补方法：
采用 #*# 的方式 sqlmap是采用 预编译方式处理
把转义操作交给数据库本身！

select * from table where name like ‘%’||#value#||’%’

漏洞2 示例：



$OrderId$ $sortSeq$



String orderId = group.getField(“orderId”).getStringValue();
query.setOrderId(StringUtils.isNotBlank(orderId)?orderId:null);
PaginationQueryList pageList =
orderService.listCustomerOrderForMistinessQuery(query);

漏洞2 说明：
其中sqlmap方式是把$*$ 替换，假设用户输入 a;drop table admin–
那么翻译为本地SQL为
select * from PRIVATE_SHOWROOM_PRODUCT order by a;drop table admin–
修补方法：



$OrderId:METADATA$ $sortSeq:SQLKEYWORD$