背景介绍

紧接着上一篇xss，sql注入问题也是遇到最多的漏洞了，前端输入一些带有sql关键字的特殊字符，在后端解析拼接的时候，就会有很多安全问题，本文还是以 若依 和 人人为例，梳理下这两套平台的实现

人人

很显然的，我们找到common 里面的 SQLFilter，然后全局搜索 find usage，定位到这里，显然这块是 人人 对于分页查询的封装

初步判断，是在拼接 order 参数的时候

我们已用户分页查询为例，简单看看怎么用的

@Override
public PageUtils queryPage(Map<String, Object> params) {
    String username = (String) params.get("username");
    Long createUserId = (Long) params.get("createUserId");

    IPage<SysUserEntity> page = this.page(
            new Query<SysUserEntity>().getPage(params),
            new QueryWrapper<SysUserEntity>()
                    .like(StringUtils.isNotBlank(username), "username", username)
                    .eq(createUserId != null, "create_user_id", createUserId)
    );

    return new PageUtils(page);
}

//排序字段
//防止SQL注入（因为sidx、order是通过拼接SQL实现排序的，会有SQL注入风险）
String orderField = SQLFilter.sqlInject((String) params.get(Constant.ORDER_FIELD));
String order = (String) params.get(Constant.ORDER);

//前端字段排序
if (StringUtils.isNotEmpty(orderField) && StringUtils.isNotEmpty(order)) {
    if (Constant.ASC.equalsIgnoreCase(order)) {
        return page.addOrder(OrderItem.asc(orderField));
    } else {
        return page.addOrder(OrderItem.desc(orderField));
    }
}

简单来看，存在注入风险的在 orderField，然后这里的 page 是对 mybatisplus 做的扩展，猜测这里 给出的接口的实现就是直接拼接在末尾，所以存在注入的风险

若依

同样的方法，也是通过搜索工具类的 usage 找到

类似的，这里的过滤也是在 order 这个地方，BaseController 里面封装了常见的一些操作，startPage() 分页就是其一，不同的是这里的分页是基于 PageHelper 做的

/**
 * 设置请求分页数据
 */
protected void startPage()
{
    PageDomain pageDomain = TableSupport.buildPageRequest();
    Integer pageNum = pageDomain.getPageNum();
    Integer pageSize = pageDomain.getPageSize();
    if (StringUtils.isNotNull(pageNum) && StringUtils.isNotNull(pageSize))
    {
        String orderBy = SqlUtil.escapeOrderBySql(pageDomain.getOrderBy());
        PageHelper.startPage(pageNum, pageSize, orderBy);
    }
}

我们仍然使用分页查询用户的例子

/**
 * 获取用户列表
 */
@PreAuthorize("@ss.hasPermi('system:user:list')")
@GetMapping("/list")
public TableDataInfo list(SysUser user)
{
    startPage();
    List<SysUser> list = userService.selectUserList(user);
    return getDataTable(list);
}

总结

其实在使用了框架以后，绝大部分 的场景中，都不太可能出现 sql 注入的问题，首先肯定需要避免使用 ${} 直接拼接的，然后快速开发平台的sql注入检查主要发生在对 mybatis 或者 mybatisplus进行order查询扩展的时候的检查