MyBatis 動態指定表名與欄位名：${} 與 #{} 差異與防 SQL 注入實務

核心認知：#{} vs ${}

攻擊示例

    SELECT * FROM ${tableName} WHERE name = ${name}

若傳入 tableName = "user; DROP TABLE user; --"，解析後 SQL 變為：

SELECT * FROM user; DROP TABLE user; -- WHERE name = ?

導致惡意刪表執行。

安全實踐：動態表名/欄位名的正確姿勢

1. 必須關閉預編譯

    SELECT ${columns} FROM ${tableName} WHERE company_remark = ${company}

statementType="STATEMENT" 告訴 MyBatis 使用 Statement 而非 PreparedStatement，否則 ${} 替換後的 SQL 仍會被預編譯導致語法錯誤。

2. 白名單驗證（核心防線）

public List> queryDynamic(QueryParam param) {
    // 1. 嚴格白名單校驗
    Set allowedTables = Set.of("user", "order", "product");
    Set allowedColumns = Set.of("id", "name", "create_time", "status");
    
    if (!allowedTables.contains(param.getTableName())) {
        throw new IllegalArgumentException("非法表名");
    }
    List cols = Arrays.stream(param.getColumns().split(","))
                              .map(String::trim)
                              .filter(allowedColumns::contains)
                              .collect(Collectors.toList());
    if (cols.isEmpty()) throw new IllegalArgumentException("無合法欄位");
    
    // 2. 組裝安全參數
    param.setSafeColumns(String.join(",", cols)); // 已驗證的欄位列表
    param.setSafeTable(param.getTableName());     // 已驗證的表名
    
    // 3. 執行查詢
    return mapper.queryDynamic(param);
}

3. Mapper 對應

    SELECT ${safeColumns} FROM ${safeTable} WHERE status = #{status}

注意：WHERE 條件值仍用 #{}，僅結構部分用經驗證的 ${}。

進階場景：分表查詢

    SELECT * FROM order_${month} WHERE user_id = #{userId}

服務層驗證 month 格式為 yyyyMM 且在合法範圍內。

總結原則

1. 能用 #{} 絕不使用 ${}。
2. 必須用 ${} 時（表名、欄位名、排序欄位），務必在 Service 層做嚴格白名單/正則驗證。
3. statementType="STATEMENT" 僅配合 ${} 使用，其餘場景保持預設 PREPARED。
4. 日誌記錄完整 SQL（含參數），便於審計追蹤潛在注入嘗試。

1. 上一篇文章： Spring 靜態指定實現類策略：註冊表模式與 ApplicationContextAware 完整實作
2. 下一篇文章： CentOS 部署 Java Web 環境完整教學：JDK、Tomcat、MySQL 安裝與配置

Java 相關知識

徹底告別 Java 安裝捆綁推廣：全方位防護指南

許多行動應用與企業級軟體皆以 Java 為開發基礎，導致使用

Java 排序報 Comparison method violates its general contract 異常的根因與修復

JDK 7 引入 TimSort 替代傳統 MergeSor

追求代碼質量：用 TestNG-Abbot 實現 GUI 自動化測試

使用 Swing、AWT 構建用戶界面時，測試向來是個難題：

NetBeans 插件開發入門：從模組專案到視窗元件的完整實作

前言：NetBeans 平台的模組化哲學 NetBeans