防止Ibatis中的SQL注入

Question

Ibatis中有什么内置的东西可以帮助防止SQL注入攻击吗？我并不是在寻找Ibatis之外的方法来做到这一点，我只是想知道Ibatis是否有什么可以阻止SQL注入的方法。

Answer 1

IBatis在幕后使用JDBC prepared语句，因此是安全的。但是，这仅适用于使用#表示法的情况。还可以使用$符号将变量直接连接到查询中，这是不安全的(除非对它们进行转义)。有关背景信息，请参阅this article。

Answer 2

我猜iBatis使用的是预准备语句和参数绑定，所以它是安全的。