myBatis的SQL注入问题

sqlMap中尽可能不要使用$;$使用的是Statement（拼接字符串），会出现注入问题。#使用的是PreparedStatement（相似于预编译），将转义交给了数据库，不会出现注入问题；.前者容易出现SQL注入之类的安全问题，因此ibatis推荐使用#。

一、  正确使用$示例：ORDER BY $sortFieldName$ $sortType$，当参数是数据库字段名时这样使用是合适的，但必定注意这些参数必定不能是用户输入的。

二、  错误使用$示例：URL LIKE '%$URL$%'，好比参数URL传进一个单引号“'”，生成的sql语句会是：URL like '%'%',这样确定是会报错的，解决方法是利用字符串链接的方式来构成sql语句，此处应该改成: URL LIKE '%’||#URL#||’%'。

三、  错误的使用$通常都出如今 like后面，能够搜索 %$ 或者 $%。修改方法比较简单直接替换便可。%$替换为 %’||# ， $%替换为#||’%。

 综上：

对于like语句，不免要使用$写法，

 1. 对于Oracle能够经过'%'||'#param#'||'%'避免；

 2. 对于MySQL能够经过CONCAT('%',#param#,'%')避免；

 3. MSSQL中经过'%'+#param#+'% 。 

以下3种SQL语句：

mysql: select * from t_user where name like concat('%',#name #,'%')      
oracle: select * from t_user where name like '%'||#name #||'%'      
SQL Server:select * from t_user where name like '%'+#name #+'%