Spring 启动: Repository interface sql injection protection

Question

我的 Spring Boot 应用程序中有一个存储库接口(interface)，如下所示。

@Repository
public interface CounterRepository extends JpaRepository<Counter, String> {
    Counter findByMediaName(String mediaName);
}

此接口(interface)没有实现。这只是 Spring Boot 的魔力。我想知道 mediaName 参数是否存在 SQL 注入(inject)风险？我正在使用 Spring Boot 2.2.6.RELEASE

Answer 1

不，没有。它将创建一个 Criteria api 查询(以正确的方式)，它将转义参数。 这就像您使用准备好的语句一样。