038-安全开发-JavaEE应用&SpringBoot框架&MyBatis注入&Thymeleaf模版#

1
package cn.wusuowei.springdemo.controller;
2

3
import org.springframework.stereotype.Controller;
4
import org.springframework.web.bind.annotation.*;
5

6
@RestController // 等同于@Controller + @ResponseBody，返回值直接作为响应体
7
public class IndexController {
8

9
    // 指定GET请求的访问路由：/xiaodiget
10
    // @RequestMapping(value = "/xiaodiget", method = RequestMethod.GET) 等价于 @GetMapping("/xiaodiget")
11
    @RequestMapping(value = "/xiaodiget", method = RequestMethod.GET)
12
    public String getindex() {
13
        return "get test"; // 直接返回字符串作为响应
14
    }
15

16
    // 指定POST请求的访问路由：/xiaodipost
17
    // @RequestMapping(value = "/xiaodipost", method = RequestMethod.POST) 等价于 @PostMapping("/xiaodipost")
18
    @RequestMapping(value = "/xiaodipost", method = RequestMethod.POST)
19
    public String getpost() {
20
        return "post test";
21
    }
22

23
    // 处理带参数的GET请求：/xiaodiget_g?name=xxx
24
    @RequestMapping(value = "/xiaodiget_g", method = RequestMethod.GET)
25
    public String get_g(@RequestParam String name) { // @RequestParam接收URL中的name参数
26
        return "get test" + name; // 直接拼接参数返回，存在XSS风险（若name包含恶意脚本）
27
    }
28

29
    // 处理带参数的POST请求：/xiaodipost_p，参数在请求体中
30
    @RequestMapping(value = "/xiaodipost_p", method = RequestMethod.POST)
31
    public String get_p(@RequestParam String name) {
32
        return "post test" + name; // 同样存在XSS风险
33
    }
34
}

1
<!-- MyBatis与SpringBoot整合的 starter -->
2
<dependency>
3
  <groupId>org.mybatis.spring.boot</groupId>
4
  <artifactId>mybatis-spring-boot-starter</artifactId>
5
  <version>2.2.2</version>
6
</dependency>
7

8
<!-- MySQL数据库驱动 -->
9
<dependency>
10
  <groupId>com.mysql</groupId>
11
  <artifactId>mysql-connector-j</artifactId>
12
  <scope>runtime</scope> <!-- 运行时依赖，编译时不生效 -->
13
</dependency>

1
spring:
2
  datasource:
3
    url: jdbc:mysql://localhost:3306/demo01 # 数据库连接地址（数据库名为demo01）
4
    username: root # 数据库用户名
5
    password: password # 数据库密码（实际开发中需加密存储，避免明文）
6
    driver-class-name: com.mysql.cj.jdbc.Driver # MySQL驱动类（适用于MySQL 8.0+）

1
package cn.xiaodisec.springbootmybatils.entity;
2

3
// 代表用户实体的实体类（与数据库表admin的字段对应）
4
public class User {
5
    private Integer id; // 对应数据库id字段
6
    private String username; // 对应数据库username字段
7
    private String password; // 对应数据库password字段
8

9
    // getter和setter方法：用于访问和修改私有属性
10
    public Integer getId() {
11
        return id;
12
    }
13

14
    public void setId(Integer id) {
15
        this.id = id;
16
    }
17

18
    public String getUsername() {
19
        return username;
20
    }
21

22
    public void setUsername(String username) {
23
        this.username = username;
24
    }
25

26
    public String getPassword() {
27
        return password;
28
    }
29

30
    public void setPassword(String password) {
31
        this.password = password;
32
    }
33

34
    // 重写 toString() 以便于日志记录和调试（打印对象时显示字段值）
35
    @Override
36
    public String toString() {
37
        return "User{" +
38
                "id=" + id +
39
                ", username='" + username + '\'' +
40
                ", password='" + password + '\'' +
41
                '}';
42
    }
43
}

1
package cn.xiaodisec.springbootmybatils.mapper;
2

3

4
import cn.xiaodisec.springbootmybatils.entity.User;
5
import org.apache.ibatis.annotations.Insert;
6
import org.apache.ibatis.annotations.Mapper;
7
import org.apache.ibatis.annotations.Select;
8

9
import java.util.List;
10

11
@Mapper // 标识为MyBatis的Mapper接口，MyBatis会自动生成实现类
12
public interface UserMapper {
13

14
    // 选择所有用户的SQL查询（查询admin表所有数据）
15
    @Select("select * from admin ")
16
    public List<User> findAll();
17

18
    // 根据特定id选择用户的SQL查询（固定查询id=1的数据，无参数，无注入风险）
19
    @Select("select * from admin where id=1")
20
    public List<User> findID();
21
}

1
package cn.xiaodisec.springbootmybatils.controller;
2

3
import cn.xiaodisec.springbootmybatils.entity.User;
4
import cn.xiaodisec.springbootmybatils.mapper.UserMapper;
5
import org.springframework.beans.factory.annotation.Autowired;
6
import org.springframework.web.bind.annotation.GetMapping;
7
import org.springframework.web.bind.annotation.RequestParam;
8
import org.springframework.web.bind.annotation.RestController;
9

10
import java.util.List;
11

12
@RestController // REST风格控制器，返回JSON数据
13
public class GetadminController {
14

15
    @Autowired // 自动注入UserMapper实例（由Spring容器管理）
16
    private UserMapper UserMapper;
17

18
    // 访问路由：/getadmin，查询所有用户
19
    @GetMapping("/getadmin")
20
    public List<User> getadmindata(){
21
        List<User> all = UserMapper.findAll(); // 调用Mapper方法查询数据
22
        return all; // 返回查询结果（自动转为JSON）
23
    }
24

25
    // 访问路由：/getid，查询id=1的用户
26
    @GetMapping("/getid")
27
    public List<User> getadminid(){
28
        List<User> all = UserMapper.findID();
29
        return all;
30
    }
31

32
}

1
@Mapper
2
public interface UserMapper {
3
    // 使用${id}拼接参数（危险！无预编译，直接替换）
4
    @Select("select * from admin where id like '%${id}%'")
5
    public List<User> findAll(Integer id);

1
// 接收用户传入的id参数并传入Mapper
2
@GetMapping("/getadmin")
3
public List<User> getadmindata(@RequestParam Integer id){
4
    List<User> all = UserMapper.findAll(id);
5
    return all;
6
}

1
<!DOCTYPE html>
2
<html  xmlns:th="http://www.thymeleaf.org"> <!-- 引入Thymeleaf命名空间，支持th:*属性 -->
3
<head>
4
    <meta charset="UTF-8">
5
    <title>Title</title>
6
</head>
7
<body >
8
<!-- th:text="${data}"：将后端传入的data变量值渲染到span标签中（会自动转义HTML，默认防御XSS） -->
9
<span th:text="${data}">小迪安全</span>
10
</body>
11
</html>

1
<!DOCTYPE html>
2
<html lang="en">
3
<head>
4
    <meta charset="UTF-8">
5
    <title>xiaodi</title>
6
</head>
7
<body>
8
xiaodisec
9
</body>
10
</html>

1
package cn.xiaodisec.thyremeafdemo.controller;
2

3
import org.springframework.ui.Model;
4
import org.springframework.web.bind.annotation.RequestMapping;
5
import org.springframework.web.bind.annotation.RestController;
6

7
//@Controller
8
@RestController // 问题点：@RestController包含@ResponseBody，会将返回值作为字符串直接返回，而非渲染模板
9
public class ThyremeafController {
10
    @RequestMapping(value = "/index")
11
    public String index(Model model) {
12
        model.addAttribute("data", "hello xiaodi"); // 向模板传递data变量
13
        //@RestController：index被当作字符串返回，不渲染模板
14
        //@Controller：index被当作模板文件名（resources/templates/index.html）渲染
15
        return "index";
16
    }
17

18
    @RequestMapping(value = "/test")
19
    public String index() {
20
        // 同上，@RestController返回"test"字符串，@Controller渲染test.html
21
        return "test";
22
    }
23
}