什么是SQL注入以及mybatis中#{}为什么能防止SQL注入而${}为什么不能防止SQL注入

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了什么是SQL注入以及mybatis中#{}为什么能防止SQL注入而${}为什么不能防止SQL注入，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含1114字，纯文字阅读大概需要2分钟。

内容图文

 

---

1.什么是SQL注入

答：SQL注入是通过把SQL命令插入到web表单提交或通过页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL指令。

　　注入攻击的本质是把用户输入的数据当做代码执行。

　　举例如: 表单有两个用户需要填写的表单数据，用户名和密码，如果用户输入admin(用户名)，111(密码)，若数据库中存在此用户则登录成功。SQL大概是这样

　　　　　　SELECT * FROM XXX WHERE userName = admin and password = 111

　　　　　但若是遭到了SQL注入，输入的数据变为  admin or 1 =1 # 密码随便输入，这时候就直接登录了，SQL大概是这样

　　　　　　SELECT * FROM XXX WHERE userName = admin or 1 = 1 # and password = 111 ,因为 # 在sql语句中是注释，将后面密码的验证去掉了，而前面的条件中1 = 1始终成立，所以不管密码正确与否，都能登录成功。

2.mybatis中的#{} 为什么能防止sql注入，${}不能防止sql注入

答: #{}在mybatis中的底层是运用了PreparedStatement 预编译，传入的参数会以 ? 形式显示，因为sql的输入只有在sql编译的时候起作用，当sql预编译完后，传入的参数就仅仅是参数，不会参与sql语句的生成，而${}则没有使用预编译，传入的参数直接和sql进行拼接，由此会产生sql注入的漏洞。

3.SQL语句中where 1=0是什么意思

表示条件永抄远不成立
适用于导出表结构袭
比如说你想bai看下一个表的结构 你可以
select * from 表名 where 1=0

内容总结

以上是互联网集市为您收集整理的什么是SQL注入以及mybatis中#{}为什么能防止SQL注入而${}为什么不能防止SQL注入全部内容，希望文章能够帮你解决什么是SQL注入以及mybatis中#{}为什么能防止SQL注入而${}为什么不能防止SQL注入所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

---