MyBatis信任边

我的天！MyBatis“信任边”被黑客盯上，这波操作我直接裂开！

哎,朋友们，今天咱们不聊那些虚头巴脑的框架原理，我就想跟大家伙儿掏心窝子地聊聊我最近踩的一个巨坑——MyBatis的“信任边”问题，真的，兄弟们，这玩意儿差点让我在甲方爸爸面前当场社死，你们说气不气人？！

先别急着划走,我知道你们可能觉得“MyBatis不就是个ORM框架嘛，能有啥大事儿？” —— 嘿，你还真别不信！我最初也是这么想的，毕竟咱用了这么多年，写个XML映射文件，搞个动态SQL，那叫一个丝滑，但直到我被现实狠狠抽了一耳光，我才明白，所谓的“信任边”，就是你以为你写的是安全的SQL，其实在黑客眼里，那就是个敞开的后门啊喂！

那个让我彻夜难眠的“#{}”与“${}”之争

你们知道最扎心的是什么吗？就是那种你明明背得滚瓜烂熟的规则，却在关键时刻掉链子，就拿和来说吧，咱们都知道是预编译，安全的很；是字符串拼接，容易SQL注入，但我问你，你有没有在写ORDER BY或者表名的时候，图省事儿直接用了？🙋‍♂️ 别躲，说的就是你！

我当时就是在一个分页排序功能里,为了图方便，直接把前端传的排序字段用拼了进去，我还美滋滋地想：“哎呀，就一个排序字段，能有多大风险？” —— 结果呢？好家伙，MyBatis的“信任边”就这么被我亲手撕开了一道口子！ 人家黑客直接在你排序参数里塞了个if(now()=sysdate(),sleep(10),1)，你这边数据库直接就卡成PPT了！那叫一个酸爽！我当时就感觉，这哪是写代码啊，这分明是给黑客递刀子，还顺便帮人家指了条明路。

别让“约定俗成”变成“致命陷阱”

说真的,很多人觉得MyBatis的“信任边”就是指框架本身的安全边界，但我觉得，真正行使“信任”的，是我们这些开发者自己，你信任你的输入是干净的，你信任你的参数是合法的，你信任你的同事不会把敏感接口暴露出去，我的老哥老姐们，信任这东西，在网络安全面前，一分钱都不值啊！

我后来复盘时,发现最可怕的地方在于：这种问题不是说你用了一个强类型检查或者加个过滤器就能完全堵死的，因为MyBatis的灵活性太高了，它给了你动态SQL的“超能力”，但也同时把“不作恶”的底线交到了你手里，你要是稍微一松懈，比如在写<script>标签的时候，没注意转义；或者在处理批量插入的时候，为了效率直接拼接了海量values，这都是在跟黑客玩“猜猜谁先撑不住”的游戏，反正我是被玩明白了，那种感觉就像你养了一只温顺的萨摩耶，结果某天它突然咬了你一口，你才发现它牙口是真的好，而你丝毫没有还手之力。

我可算明白了，这叫“信任但验证”？

后来我去请教了一位大佬,他跟我说了一句让我醍醐灌顶的话：“你以为的MyBatis信任边，其实是‘不信任边’，你永远要假设你的输入是恶意的，然后在边界处做校验。 ” 我只能说，绝了！

之前我写代码,那真是全凭“一腔热血”，觉得业务逻辑对了就行，现在呢？我每次看到就条件反射地头皮发麻，哪怕是在配置文件里写死的地方，我也要加个白名单校验，什么？你说用MyBatis-Plus那个QueryWrapper？一样！底层封装再好，那也不是你躺平的理由，因为复杂的自定义SQL还是得靠XML，那个“信任边”永远在那儿，就看你敢不敢直视它。

总结一下我的血泪教训吧：