设计一个个人网站的具体步骤,长沙网业公司,博物馆 网站 建设,设计模板用什么软件sql防注入底层jdbc类型转换当简单类型参数$不防止Statment不转换value#防止preparedStatement转换任意 除模糊匹配外#xff0c;杜绝使用${} MyBatis教程#xff0c;大家可以借鉴 MyBatis 教程_w3cschool
主要区别 1、#{} 是预编译处理#xff0c;${} 是直接替换#…sql防注入底层jdbc类型转换当简单类型参数$不防止Statment不转换value#防止preparedStatement转换任意 除模糊匹配外杜绝使用${} MyBatis教程大家可以借鉴 MyBatis 教程_w3cschool
主要区别 1、#{} 是预编译处理${} 是直接替换 2、${} 存在SQL注入的问题而 #{} 不存在 #{} 是预编译处理像传进来的数据会加个 #将传入的数据都当成一个字符串会对自动传入的数据加一个双引号 ${} 就是字符串替换。直接替换掉占位符。$方式一般用于传入数据库对象例如传入表名. 使用 ${} 的话会导致 sql 注入。什么是 SQL 注入呢
比如 select * from user where id ${value} value 是一个数值。
如果对方传过来的是 001 and name tom。这样就相当于多加了一个条件,把SQL语句直接写进来了。如果是攻击性的语句,则会导致数据库损坏。
所以为了防止 SQL 注入能用 #{} 的不要去用 ${}。如果非要用 ${} 的话那要注意防止 SQL 注入问题可以手动判定传入的变量进行过滤一般 SQL 注入会输入很长的一条 SQL 语句。
like模糊查询
${} 进行模糊查询存在 SQL 注入问题
方式一直接替换
select idgetUserById resultTypecom.by.pojo.Userselect * from user where username like %${key}%
/select方式二使用concat进行字符串拼接
select idgetUserById resultTypecom.by.pojo.Userselect * from user where username like concat(%, ${key}, %)
/select
#{} 模糊查询
select idgetUserById resultTypecom.by.pojo.User select * from user where username like concat(%, #{key}, %)
/select
使用 #{} 传入的参数会自带引号
select idgetUserById resultTypecom.by.pojo.User select * from user where username like concat(%, #{key}, %)
/select目标sql 语句select * from user where username %张%;实际sql语句select * from user where username % 张 %;
