通过ibatis解决sql注入问题

首先，我们需要了解SQL注入的定义：SQL注入（SQL Injection），是通过把SQL命令插入到Web表单字段或网址请求中，最终达到欺骗服务器执行恶意的SQL命令的攻击手段。

为了解决SQL注入问题，我们可以使用iBATIS，它是一个简单的Java持久化框架，允许您使用简单的XML或注释代码配置来映射Java的POJOs(Plain Old Java Objects)和数据库表。

iBATIS提供了以下机制来防止SQL注入攻击：

1.参数映射(Parameter Mapping)：该机制通过使用占位符('?')或命名参数(:name)将参数值与SQL语句分开。操作系统将会使用预处理语句的SQL语句及绑定变量，将绑定变量的类型和值传给 RDBMS，而不是和 SQL命令一样将完整的SQL语句发送给RDBMS。

下面是使用iBATIS的参数映射机制的示例：

<select id="findCustomer" parameterClass="java.lang.String"
    resultClass="Customer">
    select * from customers where last_name = ?                
</select>

2.语句处理(Statement Handling)：iBATIS使用PreparedStatement或CallableStatement来执行动态生成的SQL语句，这会处理自动单引号转义。

下面是使用iBATIS的语句处理机制的示例：

public List<Customer> findCustomer(String lastName) {
    SqlSession session = sqlSessionFactory.openSession();
    try {
        List<Customer> customers = session.selectList("findCustomer", lastName);
        return customers;
    } finally {
        session.close();
    }
}

使用以上两种机制，我们就可以有效的防止SQL注入攻击。但是为了更加安全，我们还需要遵循以下几个指导原则：

1、使用参数化的SQL语句，而不是拼接字符串的形式。

2、永远不要将输入的内容直接保存到数据库中，而是把它们保存在Java对象中，通过Java对象将它们传递给iBATIS。

3、只要可能，就尽量使用具有安全性的框架，比如Spring或Hibernate等。

下面是使用iBATIS来防止SQL注入的综合示例：

public List<Customer> findCustomer(String lastName) {
    SqlSession session = sqlSessionFactory.openSession();
    try {
        Map<String, String> map = new HashMap<String, String>();
        map.put("name", lastName);
        List<Customer> customers = session.selectList("findCustomerByName", map);
        return customers;
    } finally {
        session.close();
    }
}

<select id="findCustomerByName" parameterClass="java.util.Map"
    resultClass="Customer">
    select * from customers where last_name = #{name}                
</select>

以上是防止SQL注入攻击的完整攻略和两条示例。