mybatis $ 질문

Question

mybatis 에 인자값 받을때 #을 사용하는대동적쿼리 인 경우 $를 사용해야 하는 경우가 있는데 보안 위배 로 사용을 못합니다.SELECT A.C1, A.C2,COL1 AS COL1, COL2 AS COL2,COL3 AS COL3 -- 가변적임FROM TEST1 A;SELECT A.C1, A.C2 #{item} AS COL${index} COL1, COL2, COL3은 3개가 될 수도 있고 50개가 될 수 있으며 가변적입니다.$를 컬럼명으로 부득이하게 사용해야 되는데 #로 해결방법이 있나요?

초무쿤 · Answer

일단 테이블(RDB 라고 가정)의 컬럼이 가변이 될수가 없을거 같은데모든 컬럼을 가져와서 프로그램에서 로직으로 처리하는게 맞을거 같네요.ps. $로 처리하게 되면 sql문이 조건에 따라 많은 유형이 생성되서 db성능에 (execute plan cache hit 가 잘 안됨)에 영향을 많이 주기 때문에 dba가 승인하지 않을듯 합니다.

kenu,전독시 · Answer

sql injection 때문에 #은 괜찮은데, $는 DB가 털릴 위험성이 있습니다.

역경을 뒤집어 보면 경력이다 · Answer

아래와 같이 하면 보안 이슈나 이런것은 없을것으로 보입니다. dao에서 호출 하는 부분TestMapper mapper = sqlSession.getMapper(TestMapper.class);mapper.selectList(parameter);// mapper classpublic interface TestMapper { @ResultType(List.class) @SelectProvider(type=TestSqlBuilderProvider.class, method="selectList") public List selectList(DataEntity param);}// 쿼리 동적 생성public class TestSqlBuilderProvider { public String selectList(DataEntity param) { return "select COL1, COL2, COL3"; }}

김을동 · Answer

colList를 클라이언트가 아닌 서버가 위임해서 관리하면 보안이슈 없읍니다

yeori · Answer

느낌상 디비 설계가 뭔가 잘못됐을거 같네요.

오케잇 · Answer

무조건 $를 못쓰게 하면 너무 일이 많이 번거로워지긴 하겠네요.$쓰는 변수를 보안에 위배되는 text를 검증 하는것을 공통으로 만들어두고 좀 허용하면 좋겠지만아키텍처단에서 못쓰게 막았다면 다른방법을 찾을 수 밖에 없겠네요. ㅠㅠ

mybatis $ 질문

6개의 답변

Q&A 목록