51Testing软件测试论坛

 找回密码
 (注-册)加入51Testing

QQ登录

只需一步,快速开始

微信登录,快人一步

手机号码,快捷登录

查看: 3457|回复: 0
打印 上一主题 下一主题

mysql中 ${param}与#{param}区别

[复制链接]
  • TA的每日心情
    无聊
    2022-8-5 09:01
  • 签到天数: 2 天

    连续签到: 2 天

    [LV.1]测试小兵

    跳转到指定楼层
    1#
    发表于 2019-3-22 17:02:29 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
    ${param}传递的参数会被当成sql语句中的一部分,比如传递表名,字段名

    例子:(传入值为id)

    order by ${param}

    则解析成的sql为:

    order by id



    #{parm}传入的数据都当成一个字符串,会对自动传入的数据加一个双引号

    例子:(传入值为id)

    select * from table where name = #{param}

    则解析成的sql为:

    select * from table where name = "id"

    为了安全,能用#的地方就用#方式传参,这样可以有效的防止sql注入攻击



    sql注入简介

    直接上了百度的例子,感觉一看就清晰明了



    某个网站的登录验证的SQL查询代码为:

    strSQL = "SELECT * FROM users WHERE (name = '" + userName + "') and (pw = '"+ passWord +"');"

    恶意填入

    userName = "1' OR '1'='1";

    与passWord = "1' OR '1'='1";

    时,将导致原本的SQL字符串被填为

    strSQL = "SELECT * FROM users WHERE (name = '1' OR '1'='1') and (pw = '1' OR '1'='1');"

    也就是实际上运行的SQL命令会变成下面这样的

    strSQL = "SELECT * FROM users;"

    这样在后台帐号验证的时候巧妙地绕过了检验,达到无账号密码,亦可登录网站。所以SQL注入攻击被俗称为黑客的填空游戏。


    分享到:  QQ好友和群QQ好友和群 QQ空间QQ空间 腾讯微博腾讯微博 腾讯朋友腾讯朋友
    收藏收藏
    回复

    使用道具 举报

    本版积分规则

    关闭

    站长推荐上一条 /1 下一条

    小黑屋|手机版|Archiver|51Testing软件测试网 ( 沪ICP备05003035号 关于我们

    GMT+8, 2024-11-26 02:07 , Processed in 0.060316 second(s), 23 queries .

    Powered by Discuz! X3.2

    © 2001-2024 Comsenz Inc.

    快速回复 返回顶部 返回列表