sqlmap中盡量不要使用$;$使用的是statement（拼接字串），會出現注入問題。#使用的是preparedstatement（類似於預編譯），將轉義交給了資料庫，不會出現注入問題；.前者容易出現sql注入之類的安全問題，所以ibatis推薦使用#。
1、 正確使用$示例：order by $sortfieldname$ $sorttype$，當引數是資料庫欄位名時這樣使用是合適的，但一定注意這些引數一定不能是使用者輸入的。
2、 錯誤使用$示例：url like '%$url$%'，比如引數url傳進乙個單引號「'」，生成的sql語句會是：url like '%'%',這樣肯定是會報錯的，解決方法是利用字串連線的方式來構成sql語句，此處應該改為: url like '%』||#url#||』%'。
3、 錯誤的使用$一般都出現在 like後面，可以搜尋 %$ 或者 $%。修改方法比較簡單直接替換即可。%$替換為 %』||# ， $%替換為#||』%。
綜上：
對於like語句，難免要使用$寫法，
1. 對於oracle可以通過'%'||'#param#'||'%'避免；
2. 對於mysql可以通過concat('%',#param#,'%')避免；
3. mssql中通過'%'+#param#+'% 。
如下3種sql語句：?
1
2
3
mysql: select * from t_user where name like concat('%',#name #,'%')
oracle: select * from t_user where name like'%'||#name #||'%'
sql server:select * from t_user where name like'%'+#name #+'%
mybatis的sql注入問題
sql注入大家都不陌生，是一種常見的攻擊方式，攻擊者在介面的表單資訊或url上輸入一些奇怪的sql片段，例如 or 1 1 這樣的語句，有可能入侵引數校驗不足的應用程式。所以在我們的應用中需要做一些工作，來防備這樣的攻擊方式。在一些安全性很高的應用中，比如銀行軟體，經常使用將sql語句全部替換為儲存...
mybatis防止sql注入
sql注入大家都不陌生，是一種常見的攻擊方式，攻擊者在介面的表單資訊或url上輸入一些奇怪的sql片段，例如 or 1 1 這樣的語句，有可能入侵引數校驗不足的應用程式 所以在我們的應用中需要做一些工作，來防備這樣的攻擊方式。在一些安全 性很高的應用中，比如銀行軟體，經常使用將sql語句全部替換為儲...
mybatis防止sql注入
sql注入大家都不陌生，是一種常見的攻擊方式，攻擊者在介面的表單資訊或url上輸入一些奇怪的sql片段，例如 or 1 1 這樣的語句，有可能入侵引數校驗不足的應用程式。所以在我們的應用中需要做一些工作，來防備這樣的攻擊方式。在一些安全性很高的應用中，比如銀行軟體，經常使用將sql語句全部替換為儲存...