我想我会从您认为可以基本上消除SQL注入可能性的选项中获得您的意见（我认为）。

当前，我有我的管理员帐户，该帐户显然可以为我提供数据库的完整命令（更改，删除等）。我将拥有一个PHP使用的帐户，该帐户只能访问SELECT，UPDATE，DELETE，INSERT。如何为每个操作设置一个用户，然后仅在mysql_query语句中引用连接ID呢-
现在很明显，这将给服务器带来更多压力，本质上每页必须建立4个连接，但是如果安全性是重要的是，在我看来，通过将命令限制为要在这种情况下执行的EXACT函数，这将是一个有效的选择。关于此选项的可行性有何想法​​？

更新：正如我之前没有提到的那样，这不是防止SQL注入，mysql_real_escape_string（），准备好的语句等的唯一障碍。但是我只是想也许所有这些都失败了，不是吗？至少限制了他们可能造成的损害？（例如，在注册表上，他们将无法选择哈希或删除条目）。

var query = string.Format("SELECT timestamp FROM table1 WHERE date = \"{0}\" 
                           AND measured_dist = bit_loc AND rop > 0",Date))

解决方法

public static bool TruncateTable(string dbAlias,string tableName)
{
    string sqlStatement = string.Format("TruncATE TABLE {0}",tableName);
    return ExecuteNonQuery(dbAlias,sqlStatement) > 0;
}

解决方法

SELECT table_name 
FROM informatION_SCHEMA.Tables 
WHERE table_type = 'BASE TABLE'
  AND table_name = @tableName

string sqlStatement = string.Format("TruncATE TABLE [{0}]",tableName);

目录

• 一、SQL注入是什么？
• 二、mybatis是如何做到防止sql注入的
• 1. #{} 和 ${} 两者的区别
• 2.PreparedStatement和Statement的区别
• 3.什么是预编译
• 4.mybaits-plus sql注入产生的原因
• 三、Mybatis-plus是如何做到防止sql注入的
• 补充：Mybatis Plus自定义全局SQL注入
• 总结

<select id="selectUserByUserName" parameterType="java.lang.String" resultType="com.domain.UserInfo">
	SELECT USER_ID, USER_NAME, PWD, USER_PHONE FROM SYS_USER 
	<where>
		USER_ID= #{userName,jdbcType=VARCHAR} 
	</where> 
</select>

<select id="selectUserByUserName" parameterType="java.lang.String" resultType="com.domain.UserInfo">
	SELECT USER_ID, USER_NAME, PWD, USER_PHONE FROM SYS_USER 
	<where>
		USER_NAME= ${userName,jdbcType=VARCHAR} 
	</where> 
</select>

page.setAscs();
page.setDescs();

 public static String concatOrderBy(String originalSql, IPage<?> page, boolean orderBy) {
        if (!orderBy || !ArrayUtils.isNotEmpty(page.ascs()) && !ArrayUtils.isNotEmpty(page.descs())) {
            return originalSql;
        } else {
            StringBuilder buildSql = new StringBuilder(originalSql);
            String ascStr = concatOrderBuilder(page.ascs(), " ASC");
            String descStr = concatOrderBuilder(page.descs(), " DESC");
            if (StringUtils.isNotEmpty(ascStr) && StringUtils.isNotEmpty(descStr)) {
                ascStr = ascStr + ", ";
            }

            if (StringUtils.isNotEmpty(ascStr) || StringUtils.isNotEmpty(descStr)) {
                buildSql.append(" ORDER BY ").append(ascStr).append(descStr);
            }

            return buildSql.toString();
        }
    }

package com.koal.util;

import com.baomidou.mybatisplus.extension.plugins.pagination.Page;
import com.koal.exception.BizException;
import com.koal.web.ErrorCode;
import org.apache.commons.lang3.StringUtils;

import java.util.Arrays;
import java.util.Optional;
import java.util.regex.Pattern;

/**
 * @author sunrj
 */
public class RegexUtils {

    /**
     * 对Page校验防止sql注入
     *
     * @param
     */
    public static void verifyPageFileld(Page page) {

        //asc校验
        Optional.ofNullable(page.ascs()).ifPresent(ascs ->  {
            Arrays.asList(ascs).forEach(asc -> {
                boolean rightfulString = RegexUtils.isRightfulString(asc);
                if (!rightfulString) {
                    throw new BizException(ErrorCode.COMMON_VERIFY_ERROR.getCode(), "ascs参数中含有非法的列名:" + asc);
                }
            });
        });
        //desc校验
        Optional.ofNullable(page.descs()).ifPresent(descs ->  {
            Arrays.asList(descs).forEach(desc -> {
                boolean rightfulString = RegexUtils.isRightfulString(desc);
                if (!rightfulString) {
                    throw new BizException("10011", "desc参数中含有非法的列名:" + desc);
                }
            });
        });
    }

    /**
     * 判断是否为合法字符(a-zA-Z0-9-_)
     *
     * @param text
     * @return
     */
    public static boolean isRightfulString(String text) {
        return match(text, "^[A-Za-z0-9_-]+$");
    }

    /**
     * 正则表达式匹配
     *
     * @param text 待匹配的文本
     * @param reg  正则表达式
     * @return
     */
    private static boolean match(String text, String reg) {
        if (StringUtils.isBlank(text) || StringUtils.isBlank(reg)) {
            return false;
        }
        return Pattern.compile(reg).matcher(text).matches();
    }
}

@GetMapping
	@ApiOperation(value = "查询用户列表", notes = "查询用户列表")
	public ServerResponse<IPage<Account>> queryAccount(Page<Account> page) {
	    //校验page中的字段，防止sql注入
		RegexUtils.verifyPageFileld(page);
		return ServerResponse.successMethod(accountService.query(page));
	}

public interface EmployeeMapper extends BaseMapper<Employee> {
    int  deleteAll();
}

/**
 * 自定义全局操作
 */
public class MySqlInjector  extends AutoSqlInjector{
    /**
     * 扩展inject 方法，完成自定义全局操作
     */
    @Override
    public void inject(Configuration configuration, MapperBuilderAssistant builderAssistant, Class<?> mapperClass,
            Class<?> modelClass, TableInfo table) {
        //将EmployeeMapper中定义的deleteAll， 处理成对应的MappedStatement对象，加入到configuration对象中。
        
        //注入的SQL语句
        String sql = "delete from " +table.getTableName();
        //注入的方法名   一定要与EmployeeMapper接口中的方法名一致
        String method = "deleteAll" ;
        
        //构造SqlSource对象
        SqlSource sqlSource = languageDriver.createSqlSource(configuration, sql, modelClass);
        
        //构造一个删除的MappedStatement
        this.addDeleteMappedStatement(mapperClass, method, sqlSource);
    }
}

<!-- 定义MybatisPlus的全局策略配置-->
<bean id ="globalConfiguration">
<!-- 在2.3版本以后，dbColumnUnderline 默认值就是true -->
<property name="dbColumnUnderline" value="true"></property>

<!-- Mysql 全局的主键策略 -->
<property name="idType" value="0"></property> 

<!-- 全局的表前缀策略配置 -->
<property name="tablePrefix" value="tbl_"></property>

<!--注入自定义全局操作     -->
<property name="sqlInjector" ref="mySqlInjector"></property>
</bean>

<!-- 定义自定义注入器 -->
<bean id="mySqlInjector"></bean>

• Mybatis-Plus通过SQL注入器实现批量插入的实践
• Mybatis-Plus注入SQL原理分析
• Mybatis-Plus的应用场景描述及注入SQL原理分析