Mybatis-防止在LIKE查詢中再次進行SQL注入

Question

我正在使用sql server 。 讓我們在mybatis查看以下查詢：
param是字符串類型，在數據庫中SomeColumn是VARCHAR類型

...
 = SomeColumn LIKE '%#{param, jdbcType=VARCHAR}%'  

它返回錯誤：

org.mybatis.spring.MyBatisSystemException：嵌套異常為org.apache.ibatis.type.TypeException：無法設置映射參數：ParameterMapping {property ='param'，mode = IN，javaType = class java.lang.Object，jdbcType = VARCHAR，numericalScale = null，resultMapId ='null'，jdbcTypeName ='null'，expression ='null'}。 原因：org.apache.ibatis.type.TypeException：使用JdbcType null為參數＃1設置非null時出錯。 嘗試為此參數或其他配置屬性設置不同的JdbcType。 原因：org.apache.ibatis.type.TypeException：使用JdbcType VARCHAR為參數＃1設置非null時出錯。 嘗試為此參數或其他配置屬性設置不同的JdbcType。 原因：com.microsoft.sqlserver.jdbc.SQLServerException：索引1超出范圍。

我無法處理（任何想法？），但是我發現了一些東西：

...    
<bind name="param" value="'%' + param + '%'" />
...
     = SomeColumn LIKE #{param}    

它確實有效。 我認為這阻止了我的SQL Injection但我不確定。 你能回答嗎？ SQL Injection安全嗎？

Answer 1

我們遇到了同樣的問題，以下方法對我們有效：

例如，從TABLE1中選擇*，其中COLUMN1如'％'||。 ＃{PARAM_NAME} || '％';

這樣可以防止SQL注入，並允許在LIKE查詢中使用＃。