ddddd 11:37:06
传进来参数都会空,这个表记录全部被删了?
rrrrr 11:37:12
是的
rrrrr11:37:40
只是想表达,一个很容易被忽略的容易出bug的地方
rrrrrr11:38:04
在上层也没做参数非空校验,sql也这样写的场景下
很容易有这种漏洞
rrrrrr 11:38:44
结论是以后制定项目规范时
delete语句不要带if
ccccc 11:38:52
双击查看原图我也干过
ccccc 11:38:58
我的是update
cccccc 11:39:16
结果传进来的参数是null,全表更新
cccccc11:39:26
我学过,但是没有用过mybatis双击查看原图
xxxxxxx 11:40:02
都是很低级和粗浅的bug
xxxxxx 11:40:24
确实容易忽略这个bug
ddddd11:40:52
有时只传一个参数,也有bug
ccccccc11:41:16
updateByPrimaryKey不写if
xxxxxx 11:41:18
阿里有自己的orm框架么
vvvvvvvv11:41:46
你们写的时候习惯加上!=‘’么
sssssss 11:41:49
delete也一样
ccccccc 11:41:55
会
xxxxxx 11:41:56
这里有两个delete的where条件
userid和id
作者本意应该是:用userid做类似于(只有本人才可以删自己数据的校验),id是删除数据的依据
但如果传过来的id为空的话
结果本人下的数据全都删除了
xxxxxxxxx11:42:13
我会加上!=''
xxxxxxxx 11:42:34
有时候
<where>
if(会有七八个,十几个这么多)
<where>
漏掉一两个在前端没校验是很容易的
xxxxxxxx 11:42:51
尤其集合基类
xxxxxxxx 11:43:21
就造成
本意是 id集合不传,一个都不动
结果编程id集合不传,所有的数据都变了(删了)
xxxxxxxxxxx 11:43:56
这个还真没注意到
xxxxxxxx) 11:44:10
看来要强加一个!=
淡(dddd) 11:44:28
必须条件不要加
xxxxxxx) 11:44:46
!=‘’只针对字符串类型
对集合类型没用
小八(df) 11:44:56
并且不是这个意思
小八(ff) 11:45:08
淡(ff) 11:45:17
上个月就因为这个,我把一张表的其中一个字段全部update了
小八(ff) 11:45:18
再看下这条简单的sql
小八(ff) 11:45:38
就是因为条件不满足,所以才删全表
梅小西(ff) 11:46:47
那就是说sql没法做到验证咯
小八(ff) 11:46:48
我要表达的意思是
update和delete,最好没有动态条件
梅小西(fff) 11:46:51
只能逻辑层验证么
小八(fff) 11:47:25
有了动态条件,当动态条件里的if xxx不满足时
反而会变成,不满足条件的所有数据被更新(或删除)
小八(fff) 11:48:05
满足动态条件,就是部分数据更新(删除)
不满足动态条件,所有数据被更新(删除)
这是一个很容易被忽略的漏洞
淡(fff) 11:49:55
sql可以验证啊,不过很麻烦
淡(fff) 11:50:16
一两个字段还好,多了就很难看
淡(fff) 11:50:52
if test里写一大堆|| &&看着难看
小八(fff) 11:53:50
结论是,delete和update别加if做动态条件
淡(fff) 11:54:13
自动生成的mapper文件,ByPrimaryKey都没有if的
淡(ffff) 11:54:30
byExample有
分享到:
相关推荐
今天写了一个一对多的查询用到了collection,首先是这样的 这样的 select u.id as u_id, u.company_id as companyId, u.name,u.sex, u.mobile, u.email, u.id_card as id_card, u.work_code as work_code, ...
springboot2.1.3 + mysql(mybatis) + mongodb maven项目
网上看了很多Sqping boot + Mavn + mybatis + sqlite的配置,发现了很多坑,尤其是涉及到有增删改查的问题时候,这里整理了一下,希望对大家有帮助,这里用的是Spring boot 2.2.1 release,Intellij Idea的mavn工程,...
Java开发中集成mybatis+orcal做批量操作时会遇到的问题。就想记录一下问题,这里的方法我的是完全可以的
针对mybatis plus的一次采坑经验案例,此案例可能很多人都经历过;个人总结,能力有限,如有不足还请见谅
最近在尝试从0开始搭建框架,结果在mybatis这块就踩了很多坑。于是就决定写篇文章记录一下。 https://blog.csdn.net/lxyoucan/article/details/126233203
6.json插件使用阿里的开源fastjson工具,注意低版本的fastjson与swagger不兼容,这里有坑; 7.包含了一个文件上传的功能,可上传单个或多个文件; 8.Excel导入导出工具使用EasyPOI来完成:https://easypoi.mydoc.io/ ...
Mybatis-plus在框架中的重要性越来越高,功能逐步强大,为了避免工作中可能出现的坑,阅读源码是重要解决方法
主要介绍了mybatis-plus id主键生成的坑,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的朋友们下面随着小编来一起学习学习吧
gbase 8t版整合mybatis+maven+springboot 的demo,坑比较多,已经踩平,肯定能用
一个从零开始的SSM框架Demo对一个新手来说,是非常重要的,可大大减少在学习过程中遇到的各种各样的坑,说到最后,也算是助人为乐吧!下面我们从零开始进行SSM框架的搭建,在介绍最后,我会把项目部署在GitHub以便...
主要给大家介绍了关于MyBatis一级缓存避坑的相关资料,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的朋友们下面随着小编来一起学习学习吧
Spring和MyBatis整合以后,使用自动生成代码工具生成dao和mapper配置文件。下面通过本文给大家介绍Spring和MyBatis整合自动生成代码里面text类型遇到的坑,需要的朋友参考下吧
主要介绍了详解mybatis.generator配上最新的mysql 8.0.11的一些坑,小编觉得挺不错的,现在分享给大家,也给大家做个参考。一起跟随小编过来看看吧
主要介绍了详解mybatis-plus的 mapper.xml 路径配置的坑,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的朋友们下面随着小编来一起学习学习吧
Mybatis基本使用方法但是没有注解使用方法
这部分代码整合了Spring -mybatis-SpringMVC,里边对遇到的坑做了详细的备注
最近在项目中应用到springboot与mybatis,在进行整合过程中遇到一些坑,在此将其整理出来,分享到脚本之家平台供大家参考下
mybatis 入门(增删改查{id,模糊}),一对一 ,一对多查询,带注释说明,少入坑,在有坑的地方加了注释
使用SpringMVC + spring + Mybatis搭建项目, 有些坑我已踩过, 提供此源码供大家参考