　　最近公司安全部門對程式碼進行了靜態安全掃描，發現了一些安全問題，因為公司專案是使用mybatis寫的，所以發現了一些sql注入的bug，主要是$問題引起的

　　一個是in 查詢使用了 $,還有一處是 order by 使用了。

　　in 標籤 $ 修改為#

　　原語句：

　　and

　　ID in (${ids})

　　修改後

　　and

　　 #{item} 　

　　使用foreach 標籤，替$符號，這裡注意 collection需要把實體類的引數寫上，不要寫ids，要寫cdt.ids，

　　item 是每一項的值。

　　order by $

　　這個沒有找到特別好的修改方法，一個是在程式碼出對輸入值做校驗，對不是相關欄位排除，

sql注入修改

相關文章