Mybatis 容易被黑，被SQL注入三种常见情况和解决方法。

Mybatis的SQL注入

Mybatis的SQL语句可以基于注解的方式写在类方法上面，更多的是以xml的方式写到xml文件。Mybatis中SQL语句需要我们自己手动编写或者用generator自动生成。编写xml文件时，MyBatis支持两种参数符号，一种是#，另一种是$。比如：

  SELECT * FROM NEWS WHERE ID = #{id}

#使用预编译，$使用拼接SQL。

Mybatis框架下易产生SQL注入漏洞的情况主要分为以下三种：

1、模糊查询

Select * from news where title like ‘%#{title}%’br

在这种情况下使用#程序会报错，新手程序员就把#号改成了$,这样如果java代码层面没有对用户输入的内容做处理势必会产生SQL注入漏洞。

正确写法：

select * from news where tile like concat(‘%’,#{title}, ‘%’)br

2、in 之后的多个参数

in之后多个id查询时使用# 同样会报错，

Select * from news where id in (#{ids})br

正确用法为使用foreach，而不是将#替换为$

id in