如何避免出现SQL注入漏洞
一 前言
二 SQL注入漏洞的原理、形成原因
SQL注入漏洞，根本上讲，是由于错把外部输入当作SQL代码去执行。目前最佳的解决方案就是预编译的方式。
SQL语句在执行过程中，需要经过以下三大基本步骤：
-
代码语义分析 -
制定执行计划 -
获得返回结果
而一个SQL语句是由代码和数据两部分，如：
SELECT id, name, phone FROM userTable WHERE name = 是代码，'xiaoming'是数据。
而预编译，以Mybatis为例，就是预先分析带有占位符的语义：
如SELECT id, name, phone FROM userTable WHERE id = #{name};
然后再将数据'xiaoming'，传入到占位符。这样一来，错开来代码语义分析阶段，也就不会被误认为是代码的一部分了。
在最早期，开发者显式使用JDBC来自己创建Connection，执行SQL语句。这种情况下，如果将外部可控数据拼接到SQL语句，且没有做充分过滤的话，就会产生漏洞。这种情况在正常的业务开发过程中已经很少了，按照公司规定，无特殊情况下，必须使用ORM框架来执行SQL。
但目前部分项目中，仍会使用JDBC来编写一些工具脚本，如DataMerge.java 、DatabaseClean.java，借用JDBC的灵活性，通过这些脚本来执行数据库批量操作。
此类代码不应该出现在线上版本中，以免因各种情况，被外部调用。
三 直接使用Mybatis
1 易错点
SELECT id, name, phone FROM userTable WHERE name = '${name}';
传入name=xiaoming后，相当于
SELECT id, name, phone FROM userTable WHERE name = 'xiaoming';
实际应用中
SELECT id, name, phone FROM userTable WHERE ${col} = 'xiaoming';
传入col = "name"，相当于
SELECT id, name, phone FROM userTable WHERE name = 'xiaoming';
就像预编译原理介绍里讲的一样，使用#{} 占位符就不存在注入问题了。但有些业务场景是不可以直接使用#{}的。
比如order by语法中
如果编写SELECT id, name, phone FROM userTable ORDER BY #{}; ，执行时是会报错的。因为order by后的内容，是一个列名，属于代码语义的一部分。如果在语义分析部分没有确定下来，就相当于执行SELECT id, name, phone FROM userTable ORDER BY 。肯定会有语法错误。
SELECT id, name, phone FROM userTable WHERE name like '%#{name}%';
#{}不会被解析，从而导致报错。
in 语法和 between语法都是如此，那么如何解决这类问题呢？
2 正确写法
order by（group by）语句中使用${}
-
使用条件判断
<select id="getUserAndOrder" resultType="Emp" parameterType="Emp">select * from users where id < #{id}<choose><when test="order == \"name\"">order by name</when><when test="order != \"age\"">order by age</when><otherwise>order by id</otherwise></choose></select>
如使用正则过滤：
keyword = keyword.replaceAll("[^a-zA-Z0-9_\s+]", "");LIKE语句
<select id="selectStudentByFuzzyQuery" resultMap="studentMap">SELECT *FROM studentWHERE student.stu_nameLIKE CONCAT('%',#{stuName},'%')</select>
IN语句
tenant_id in (${tenantIds})select * from news where id in<foreach collection="ids" item="item" open="("separator="," close=")">#{item}</foreach>
四 Mybatis-generator使用安全
繁重的CRUD代码压力下，开发者慢慢开始通过Mybatis-generator、idea-mybatis-generator插件、通用Mapper、Mybatis-generator-plus来自动生成Mapper、POJO、Dao等文件。
这些工具可以自动的生成CRUD所需要的文件，但如果使用不当，就会自动产生SQL注入漏洞。我们以最常用的org.mybatis.generator为例，来讲解可能会出现的问题。
1 动态语句支持
2 targetRuntime参数配置
在配置generator时，配置文件generator-rds.xml中有一个targetRuntime属性，默认为MyBatis3。在这种情况下，会启动Mybatis的动态语句支持，启动enableSelectByExample、enableDeleteByExample、enableCountByExample 以及 enableUpdateByExample功能。
<sql id="Example_Where_Clause" ><where ><foreach collection="oredCriteria" item="criteria" separator="or" ><if test="criteria.valid" ><trim prefix="(" suffix=")" prefixOverrides="and" ><foreach collection="criteria.criteria" item="criterion" ><choose ><when test="criterion.noValue" >and ${criterion.condition}</when><when test="criterion.singleValue" >and ${criterion.condition} #{criterion.value}</when><when test="criterion.betweenValue" >and ${criterion.condition} #{criterion.value} and #{criterion.secondValue}</when><when test="criterion.listValue" >and ${criterion.condition}<foreach collection="criterion.value" item="listItem" open="(" close=")" separator="," >#{listItem}</foreach></when></choose></foreach></trim></if></foreach></where></sql>
<select id="selectByExample" resultMap="BaseResultMap" parameterType="com.doctor.mybatisdemo.domain.userExample" >select<if test="distinct" >distinct</if><include refid="Base_Column_List" />from user<if test="_parameter != null" ><include refid="Example_Where_Clause" /></if><if test="orderByClause != null" >order by ${orderByClause}</if></select>
public Criteria addKeywordTo(String keyword) {StringBuilder sb = new StringBuilder();sb.append("(display_name like '%" + keyword + "%' or ");sb.append("org like '" + keyword + "%' or ");sb.append("status like '%" + keyword + "%' or ");sb.append("id like '" + keyword + "%') ");addCriterion(sb.toString());return (Criteria) this;}
protected void addCriterion(String condition) {if (condition == null) {throw new RuntimeException("Value for condition cannot be null");}criteria.add(new Criterion(condition));}
<when test="criterion.noValue" >and ${criterion.condition}</when>
public void addKeywordTo(String keyword, UserExample userExample) {userExample.or().andDisplayNameLike("%" + keyword + "%");userExample.or().andOrgLike(keyword + "%");userExample.or().andStatusLike("%" + keyword + "%");userExample.or().andIdLike("%" + keyword + "%");}
<when test="criterion.singleValue" >and ${criterion.condition} #{criterion.value}</when>
List<Integer> field5Values = new ArrayList<Integer>();field5Values.add(8);field5Values.add(11);field5Values.add(14);field5Values.add(22);example.or().andField5In(field5Values);
example.or().andField6Between(3, 7);
<if test="orderByClause != null" >order by ${orderByClause}</if>
3 order by
<if test="orderByClause != null" >order by ${orderByClause}</if>
PS: 实际扫雷过程中发现很多语句自动生成了order by语法，但上层调用时，并没有传入该可选参数。这种情况应当删除多余的order by语法。
4 其它插件
idea-mybatis-generator
1）自定义order by处理
但该插件没有内置的order by处理，需要自行编写，编写时，参考Case2
2）默认的IF条件前需要判断是否为空
插件默认生成的语法大致如下：
<if test="ID != null">
ID = #{ID} and
当ID参数为null时，if标签下的逻辑不会添加到SQL语句中，可能会导致DOS、权限绕过等漏洞。因此，参数传入查询语句前，需要确认不为空。
com.baomidou.mybatis-plus
五 其它ORM框架
1 Hibernate
ORM全称为对象关系映射(Object Relational Mapping)，简单地说，就是将数据库中的表映射为Java对象, 这种只有属性，没有业务逻辑的对象也叫做POJO（Plain Ordinary Java Object）对象。
Hibernate是第一个被广泛使用的ORM框架，它通过XML管理数据库连接，提供全表映射模型，封装程度很高。在配置映射文件和数据库链接文件后，Hibernate就可以通过Session对象进行数据库操作，开发者无需接触SQL语句，只需要写HQL语句即可。
Hibernate经常与Struts、Spring搭配使用，也就是Java世界的经典SSH框架。
HQL相较于SQL，多了很多语法限制：
1. 不能查询未做映射的表，只有当模型之间的关系明确后，才可以使用UNION语法。
2. 表名，列名大小写敏感。
3. 没有*、#、-- 。
4. 没有延时函数。
所以HQL注入利用要比SQL注入苦难得多。从代码审计的角度和普通SQL注入是一致的：
拼接会导致注入漏洞：
List<Student> studentList = session.createQuery("FROM Student s WHERE s.stuId = " + stuId).list();List<Student> studentList = session.createQuery("FROM Student s WHERE s.stuId = :stuId").setParameter("stuId",stuId).list();List<Student> studentList = session.createQuery("FROM Student s WHERE s.stuId = ?").setParameter(stuId).list();在审计Hibernate相关注入时，可以通过全局搜索createQuery来快速定位SQL操作的位置。
2 JPA
JPA全称为Java Persistence API，是Java EE提供的一种数据持久化的规范，允许开发者通过XML或注解的方式，将某个对象，持久化到数据库中。
主要包括三方面内容：
常见的注解有：@Entity、@Table、@Column、@Transient
常见的方法有：entityManager.merge(T t);
JPA是一套规范，Hibernate实现了这一JPA规范。
和HQL注入一样，如果使用拼接的方式，将用户可控的数据代入了查询语句中，就会导致SQL注入。
安全的查询应该使用预编译技术。
Spring Data JPA的预编译写法为：
String getUser = "SELECT username FROM users WHERE id = ?";Query query = em.createNativeQuery(getUser);query.setParameter(1, id);String username = query.getResultList();
六 总结
参考链接：
https://www.cnblogs.com/alka1d/p/11582993.html