[HIGH] 安全：MyBatis ${} 动态表名存在 SQL 注入风险 #5

New Issue

2026-06-13T20:23:40+08:00

zdh commented

2026-06-13 20:23:40 +08:00

严重度：🟠 HIGH

PurchaseOrderMapper.xml:146-147 使用 ${} 拼接表名:

FROM tbl_purchase_order${isForm ? "_form" : ""}

isForm 若被用户控制则 SQL 注入。

修复： 验证 isForm 为服务端布尔值，或改用 <if> 标签

## 严重度：🟠 HIGH `PurchaseOrderMapper.xml:146-147` 使用 `${}` 拼接表名: ```xml FROM tbl_purchase_order${isForm ? "_form" : ""} ``` `isForm` 若被用户控制则 SQL 注入。 **修复：** 验证 isForm 为服务端布尔值，或改用 `<if>` 标签

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: yueqian/yueqian-erp#5