本以为用的MyBatis框架就万无一失了，没想到还是被黑客注入了
# 前言 SQL注入漏洞作为WEB安全的最常见的漏洞之一，在java中随着预编译与各种ORM框架的使用，注入问题也越来越少。新手代码审计者往往对Java Web应用的多个框架组合而心生畏惧，不知如何下手，希望通过Mybatis框架使用不当导致的SQL注入问题为例，能够抛砖引玉给新手一些思路。 一、Mybatis的SQL注入 Mybatis的SQL语句可以基于注解的方式写在类方法上面，更多的是以xml的方式写到xml文件。Mybatis中SQL语句需要我们自己手动编写或者用generator自动生成。编写xml文件时，MyBatis支持两种参数符号，一种是#，另一种是$。比如： Select * from news where title like ‘% #{title}%’br #使用预编译，$使用拼接SQL。 Mybatis框架下易产生SQL注入漏洞的情况主要分为以下三种： 1、模糊查询 select * from news where tile like concat(‘%’, #{title}, ‘%’)br 在这种情况下使用#程序会报错，新手程序员就把#号改成了$,这样如果java代码层面没有对用户输入的内容做处理势必会产生SQL注入漏洞。 正确写法： select * from news where tile like concat(‘%’, #{title}, ‘%’