MyBatis防止SQL注入，对敏感数据的存储与查询保护-精创网络云防护

帮助文档
MyBatis防止SQL注入，对敏感数据的存储与查询保护
来源：www.jcwlyf.com更新时间：2025-05-06
在现代的软件开发中，数据库操作是不可或缺的一部分，而MyBatis作为一款优秀的持久层框架，被广泛应用于各类项目中。然而，数据库安全问题始终是开发者需要重点关注的内容，其中SQL注入和敏感数据的存储与查询保护尤为关键。本文将详细介绍MyBatis如何防止SQL注入以及对敏感数据进行有效的存储与查询保护。
一、SQL注入的危害与原理
SQL注入是一种常见的数据库攻击手段，攻击者通过在应用程序的输入字段中添加恶意的SQL代码，从而绕过应用程序的安全机制，直接对数据库进行非法操作。例如，在一个登录界面中，攻击者可以通过构造特殊的用户名和密码，绕过正常的身份验证，直接登录系统。
SQL注入的原理是由于应用程序在处理用户输入时，没有对输入进行有效的过滤和验证，直接将用户输入的内容拼接到SQL语句中，导致恶意的SQL代码被执行。例如，以下是一个简单的Java代码示例，存在SQL注入风险：
```
String username = request.getParameter("username");
String password = request.getParameter("password");
String sql = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";
// 执行SQL语句
```
如果攻击者在用户名输入框中输入 "' OR '1'='1"，密码输入框中随意输入，那么拼接后的SQL语句将变为：
```
SELECT * FROM users WHERE username = '' OR '1'='1' AND password = '任意值'
```
由于 "'1'='1'" 始终为真，所以这个SQL语句将返回所有用户记录，攻击者就可以绕过登录验证。
二、MyBatis防止SQL注入的方法
MyBatis提供了多种方式来防止SQL注入，下面将详细介绍这些方法。
1. 使用#{}占位符
在MyBatis的SQL映射文件中，使用 "#{}" 占位符来接收用户输入的参数。"#{}" 会自动对输入的参数进行预编译处理，将参数作为一个整体进行处理，避免了SQL注入的风险。例如：
```
<select id="getUserByUsername" parameterType="String" resultType="User">
    SELECT * FROM users WHERE username = #{username}
</select>
```
在Java代码中调用这个方法：
```
String username = "test";
User user = sqlSession.selectOne("getUserByUsername", username);
```
MyBatis会将 "#{username}" 替换为预编译的参数，防止恶意SQL代码的注入。
2. 使用${}时的注意事项
"${}" 在MyBatis中会直接将参数替换到SQL语句中，不会进行预编译处理，因此存在SQL注入的风险。但是在某些情况下，如动态表名、动态列名等，需要使用 "${}"。在使用 "${}" 时，必须对输入的参数进行严格的过滤和验证。例如：
```
<select id="getUserByTable" parameterType="Map" resultType="User">
    SELECT * FROM ${tableName} WHERE id = #{id}
</select>
```
在Java代码中调用时，需要对 "tableName" 进行验证：
```
Map<String, Object> params = new HashMap<>();
String tableName = "users";
// 验证tableName是否合法
if (isValidTableName(tableName)) {
    params.put("tableName", tableName);
    params.put("id", 1);
    User user = sqlSession.selectOne("getUserByTable", params);
}
```
3. 使用MyBatis的内置函数和插件
MyBatis提供了一些内置函数和插件，可以帮助我们更好地防止SQL注入。例如，使用 "SqlSource" 接口的实现类来动态生成SQL语句，避免直接拼接SQL。同时，还可以使用第三方的MyBatis插件，如MyBatis-Interceptor，对SQL语句进行拦截和过滤。
三、敏感数据的存储与查询保护
敏感数据是指包含用户隐私信息、商业机密等重要信息的数据，如用户的身份证号、银行卡号、密码等。在存储和查询这些敏感数据时，需要采取特殊的保护措施。
1. 数据加密存储
在将敏感数据存储到数据库之前，需要对其进行加密处理。常见的加密算法有对称加密算法（如AES）和非对称加密算法（如RSA）。以下是一个使用AES算法对数据进行加密的Java代码示例：
```
import javax.crypto.Cipher;
import javax.crypto.KeyGenerator;
import javax.crypto.SecretKey;
import java.nio.charset.StandardCharsets;
import java.util.Base64;

public class AESUtil {
    private static final String ALGORITHM = "AES";

    public static String encrypt(String plainText, SecretKey secretKey) throws Exception {
        Cipher cipher = Cipher.getInstance(ALGORITHM);
        cipher.init(Cipher.ENCRYPT_MODE, secretKey);
        byte[] encryptedBytes = cipher.doFinal(plainText.getBytes(StandardCharsets.UTF_8));
        return Base64.getEncoder().encodeToString(encryptedBytes);
    }

    public static String decrypt(String cipherText, SecretKey secretKey) throws Exception {
        Cipher cipher = Cipher.getInstance(ALGORITHM);
        cipher.init(Cipher.DECRYPT_MODE, secretKey);
        byte[] decodedBytes = Base64.getDecoder().decode(cipherText);
        byte[] decryptedBytes = cipher.doFinal(decodedBytes);
        return new String(decryptedBytes, StandardCharsets.UTF_8);
    }

    public static SecretKey generateKey() throws Exception {
        KeyGenerator keyGenerator = KeyGenerator.getInstance(ALGORITHM);
        keyGenerator.init(128);
        return keyGenerator.generateKey();
    }
}
```
在MyBatis中，可以在添加数据时对敏感数据进行加密，在查询数据时进行解密。例如：
```
<insert id="insertUser" parameterType="User">
    INSERT INTO users (username, password) VALUES (#{username}, #{encryptedPassword})
</insert>
<select id="getUserById" parameterType="int" resultType="User">
    SELECT id, username, password FROM users WHERE id = #{id}
</select>
```
在Java代码中进行加密和解密操作：
```
User user = new User();
user.setUsername("test");
SecretKey secretKey = AESUtil.generateKey();
String encryptedPassword = AESUtil.encrypt("123456", secretKey);
user.setEncryptedPassword(encryptedPassword);
sqlSession.insert("insertUser", user);

User retrievedUser = sqlSession.selectOne("getUserById", 1);
String decryptedPassword = AESUtil.decrypt(retrievedUser.getEncryptedPassword(), secretKey);
```
2. 访问控制和权限管理
除了数据加密，还需要对敏感数据的访问进行严格的控制和权限管理。在应用程序中，可以通过角色和权限的设置，限制不同用户对敏感数据的访问。例如，只有管理员才能查看用户的身份证号等敏感信息。在MyBatis中，可以通过编写不同的SQL映射文件和方法，根据用户的角色和权限来调用相应的方法。
3. 数据脱敏处理
在某些情况下，不需要显示完整的敏感数据，可以对数据进行脱敏处理。例如，将用户的手机号码中间四位替换为 ""。以下是一个简单的数据脱敏方法：
```
public static String desensitizePhoneNumber(String phoneNumber) {
    if (phoneNumber != null && phoneNumber.length() >= 11) {
        return phoneNumber.substring(0, 3) + "" + phoneNumber.substring(7);
    }
    return phoneNumber;
}
```
在查询数据时，可以对敏感数据进行脱敏处理后再返回给前端。
四、总结
MyBatis作为一款强大的持久层框架，在防止SQL注入和敏感数据的存储与查询保护方面提供了多种方法和机制。开发者需要充分了解这些方法和机制，并结合实际项目的需求，采取有效的措施来保障数据库的安全。通过使用 "#{}占位符、对${}参数进行严格验证、数据加密存储、访问控制和权限管理以及数据脱敏处理等方法，可以有效地防止SQL注入和保护敏感数据的安全。
同时，开发者还需要不断关注数据库安全领域的最新技术和动态，及时更新和完善自己的安全策略，以应对不断变化的安全威胁。只有这样，才能确保应用程序的数据库安全，为用户提供可靠的服务。