Sql注入攻击

SQL注入攻击属于[数据库安全]攻击手段之一，可以通过[数据库安全]防护技术实现有效防护，数据库安全防护技术包括：数据库漏扫、[数据库加密]、[数据库防火墙]、[数据脱敏]、[数据库安全审计系统]等。
在写Java代码时，当采用MyBatis执行sql语句时，存在模糊查询的方法。存在表达式${} 和 #{}。当使用美元符号容易存在sql攻击方式。

防护一：sql语句不在使用${}表达式，改为#{}

Mysql： 使用like % 查询 LIKE CONCAT('%',#{name},'%' )
Oracle：使用like % 查询 LIKE '%'||#{name}||'%' 或者CONCAT函数

  <foreach item="item" index="index" collection="list" open="(" separator="," close=")"> 
        #{item}
  </foreach>

防护二：采用阿里的druid数据连接池

 <bean id="dataSource" class="com.alibaba.druid.pool.DruidDataSource" init-method="init" destroy-method="close">
        <!-- 数据源驱动类可不写，Druid默认会自动根据URL识别DriverClass -->
        <property name="driverClassName" value="${jdbc.driver}" />
        
        <!-- 基本属性 url、user、password -->
        <property name="url" value="${jdbc.url}" />
        <property name="username" value="${jdbc.username}" />
        <property name="password" value="${jdbc.password}" />

        <!-- 配置初始化大小、最小、最大 -->
        <property name="initialSize" value="${jdbc.initialSize}" />
        <property name="minIdle" value="${jdbc.minIdle}" />
        <property name="maxActive" value="${jdbc.maxActive}" />

        <!-- 配置获取连接等待超时的时间 -->
        <property name="maxWait" value="${jdbc.maxWait}" />

        <!-- 配置间隔多久才进行一次检测，检测需要关闭的空闲连接，单位是毫秒 -->
        <property name="timeBetweenEvictionRunsMillis" value="${jdbc.timeBetweenEvictionRunsMillis}" />

        <!-- 配置一个连接在池中最小生存的时间，单位是毫秒 -->
        <property name="minEvictableIdleTimeMillis" value="${jdbc.minEvictableIdleTimeMillis}" />

        <property name="validationQuery" value="${jdbc.testSql}" />
        <property name="testWhileIdle" value="true" />
        <property name="testOnBorrow" value="false" />
        <property name="testOnReturn" value="false" />

        <!-- 打开PSCache，并且指定每个连接上PSCache的大小 -->
        <property name="poolPreparedStatements" value="true" />
        <property name="maxPoolPreparedStatementPerConnectionSize" value="20" />

        <!-- 配置监控统计拦截的filters,和防sql注入 -->
        <property name="filters" value="stat,wall" />
    </bean>