浅谈MyBatis Example模式SQL注入风险

// 危险的自定义扩展示例
public class MTaxSbPayExample {
    public static class Criteria extends GeneratedCriteria {
        
        // ❌ 危险：允许用户直接传入SQL条件
        public Criteria andCustomCondition(String sqlCondition, Object value) {
            addCriterion(sqlCondition, value, "custom");
            return (Criteria) this;
        }
        
        // ❌ 危险：动态表名或列名
        public Criteria andDynamicColumn(String columnName, String operator, Object value) {
            addCriterion(columnName + " " + operator, value, columnName);
            return (Criteria) this;
        }
    }
}

// 恶意输入示例
String userInput = "1=1; DROP TABLE users;--";
example.createCriteria().andCustomCondition(userInput, "someValue");

<if test="orderByClause != null">
  order by ${orderByClause}
</if>

// ❌ 危险：直接将用户输入作为排序条件
@RestController
public class DataController {
    
    public List<MTaxSbPay> getData(@RequestParam String sortBy) {
        MTaxSbPayExample example = new MTaxSbPayExample();
        // 直接使用用户输入，存在注入风险
        example.setOrderByClause(sortBy);  
        return mapper.selectByExample(example);
    }
}

GET /getData?sortBy=id; DROP TABLE users;--

// 生成的安全方法
public Criteria andIdEqualTo(String value) {
    addCriterion("ID =", value, "id");  // "ID =" 是硬编码字符串
    return (Criteria) this;
}

<when test="criterion.singleValue">
  and ${criterion.condition} #{criterion.value}
</when>

WHERE ID = ?  -- 参数: 用户输入值

// 用户只能通过这些安全的方法构建查询
criteria.andIdEqualTo(userInput);      // 安全
criteria.andNameLike("%" + userInput + "%");  // 安全  
criteria.andStatusIn(Arrays.asList("ACTIVE", "INACTIVE"));  // 安全