如何详细学习Mybatis框架中的SQL注入防护技巧？

本文共计1016个文字，预计阅读时间需要5分钟。

前言：SQL注入漏洞作为Web安全的常见漏洞之一，在Java应用中，随着预编译与各种ORM框架的使用，注入问题也日益减少。新手代码审计者往往对Java+Web应用的多框架组合心生敬畏，不知如何下手。

前言

SQL注入漏洞作为WEB安全的最常见的漏洞之一，在java中随着预编译与各种ORM框架的使用，注入问题也越来越少。新手代码审计者往往对Java Web应用的多个框架组合而心生畏惧，不知如何下手，希望通过Mybatis框架使用不当导致的SQL注入问题为例，能够抛砖引玉给新手一些思路。

一、Mybatis的SQL注入

Mybatis的SQL语句可以基于注解的方式写在类方法上面，更多的是以xml的方式写到xml文件。Mybatis中SQL语句需要我们自己手动编写或者用generator自动生成。编写xml文件时，MyBatis支持两种参数符号，一种是#，另一种是$。比如：

<select id="queryAll" resultMap="resultMap"> SELECT * FROM NEWS WHERE ID = #{id} </select>

#使用预编译，$使用拼接SQL。