今天親自試了一把，原來ibatis中的$是如此的危險，如果你用$的話，很可能就會被sql注入!!!
所以：
使用：select * from t_user where name like '%'||#name #||'%'
禁用：select * from t_user where name like '%'||'$name$'||'%'
解釋：
預(yù)編譯語句已經(jīng)對oracle的特殊字符單引號，進(jìn)行了轉(zhuǎn)義。即將單引號視為查詢內(nèi)容，而不是字符串的分界符。
由于SQL注入其實就是借助于特殊字符單引號，生成or 1= 1這種格式的sql。預(yù)編譯已經(jīng)對單引號進(jìn)行了處理，所以可以防止SQL注入
更多信息請查看IT技術(shù)專欄
版權(quán)所有:易賢網(wǎng)
公眾號
事業(yè)單位
當(dāng)前位置：
公考類
招聘類
各類考試