MyBatis-Plus防全表更新与删除插件BlockAttackInnerInterceptor

防全表更新与删除插件

BlockAttackInnerInterceptor 是 MyBatis-Plus 框架提供的一个安全插件，专门用于防止恶意的全表更新和删除操作。该插件通过拦截 update 和 delete 语句，确保这些操作不会偶然中影响到整个数据表，从而保护数据的完备性和安全性。

功能特性

• 阻止全表更新删除：插件能够识别并阻止没有指定条件的 update 和 delete 语句，这些语句可能会导致全表数据被修改或删除。
  
• 保护数据安全：通过限制全表操作，减少因误操作或恶意攻击导致的数据丢失风险。
  

使用方法

• 注入插件：在 Spring Boot 设置类中，通过 @Bean 注解将 MybatisPlusInterceptor 注入到 Spring 容器中，并添加 BlockAttackInnerInterceptor 作为内部拦截器。
  

1. @Configuration
2. public class MybatisPlusConfig {
4.     @Bean
5.     public MybatisPlusInterceptor mybatisPlusInterceptor() {
6.         MybatisPlusInterceptor interceptor = new MybatisPlusInterceptor();
7.         interceptor.addInnerInterceptor(new BlockAttackInnerInterceptor());
8.         return interceptor;
9.     }
10. }

复制代码

• 设置拦截规则：插件默认拦截没有指定条件的 update 和 delete 语句。假如需要自定义拦截规则，可以参考 MyBatis-Plus 的文档进行设置。
  

测试示例

全表更新测试

以下测试示例展示了怎样使用 BlockAttackInnerInterceptor 来防止全表更新操作。

1. @SpringBootTest
2. public class QueryWrapperTest {
4.     @Autowired
5.     private UserService userService;
7.     /**
8.      * SQL：UPDATE user  SET name=?,email=?;
9.      */
10.     @Test
11.     public void testFullUpdate() {
12.         User user = new User();
13.         user.setId(999L);
14.         user.setName("custom_name");
15.         user.setEmail("xxx@mail.com");
16.         // 由于没有指定更新条件，插件将抛出异常
17.         // com.baomidou.mybatisplus.core.exceptions.MybatisPlusException: Prohibition of table update operation
18.         Assertions.assertThrows(MybatisPlusException.class, () -> {
19.             userService.saveOrUpdate(user, null);
20.         });
21.     }
22. }

复制代码

部门更新测试

以下测试示例展示了怎样正确地执行部门更新操作，插件不会对此类操作进行拦截。

1. @SpringBootTest
2. public class QueryWrapperTest {
4.     @Autowired
5.     private UserService userService;
7.     /**
8.      * SQL：UPDATE user  SET name=?, email=? WHERE id = ?;
9.      */
10.     @Test
11.     public void testPartialUpdate() {
12.         LambdaUpdateWrapper<User> wrapper = new LambdaUpdateWrapper<>();
13.         wrapper.eq(User::getId, 1);
14.         User user = new User();
15.         user.setId(10L);
16.         user.setName("custom_name");
17.         user.setEmail("xxx@mail.com");
18.         // 由于指定了更新条件，插件不会拦截此操作
19.         userService.saveOrUpdate(user, wrapper);
20.     }
21. }

复制代码

注意

• 合理设置：确保在设置插件时，思量到项目的实际需求，避免过度限制导致正常操作受阻。
  
• 测试验证：在生产环境部署前，应充分测试插件的功能，确保其按预期工作。
  

BlockAttackInnerInterceptor 插件是 MyBatis-Plus 提供的一个重要的安全工具，它能够有效地防止全表更新和删除操作，保护数据库免受意外或恶意的数据破坏。通过合理设置和使用该插件，可以显着进步应用程序的数据安全性。

源码阅读

1. public class BlockAttackInnerInterceptor extends JsqlParserSupport implements InnerInterceptor {
3.     @Override
4.     public void beforePrepare(StatementHandler sh, Connection connection, Integer transactionTimeout) {
5.         PluginUtils.MPStatementHandler handler = PluginUtils.mpStatementHandler(sh);
6.         MappedStatement ms = handler.mappedStatement();
7.         SqlCommandType sct = ms.getSqlCommandType();
8.         if (sct == SqlCommandType.UPDATE || sct == SqlCommandType.DELETE) {
9.             if (InterceptorIgnoreHelper.willIgnoreBlockAttack(ms.getId())) return;
10.             BoundSql boundSql = handler.boundSql();
11.             parserMulti(boundSql.getSql(), null);
12.         }
13.     }
15.     @Override
16.     protected void processDelete(Delete delete, int index, String sql, Object obj) {
17.         this.checkWhere(delete.getTable().getName(), delete.getWhere(), "Prohibition of full table deletion");
18.     }
20.     @Override
21.     protected void processUpdate(Update update, int index, String sql, Object obj) {
22.         this.checkWhere(update.getTable().getName(), update.getWhere(), "Prohibition of table update operation");
23.     }
25.     protected void checkWhere(String tableName, Expression where, String ex) {
26.         Assert.isFalse(this.fullMatch(where, this.getTableLogicField(tableName)), ex);
27.     }
29.     private boolean fullMatch(Expression where, String logicField) {
30.         if (where == null) {
31.             return true;
32.         }
33.         if (StringUtils.isNotBlank(logicField) && (where instanceof BinaryExpression)) {
35.             BinaryExpression binaryExpression = (BinaryExpression) where;
36.             if (StringUtils.equals(binaryExpression.getLeftExpression().toString(), logicField) || StringUtils.equals(binaryExpression.getRightExpression().toString(), logicField)) {
37.                 return true;
38.             }
39.         }
41.         if (where instanceof EqualsTo) {
42.             // example: 1=1
43.             EqualsTo equalsTo = (EqualsTo) where;
44.             return StringUtils.equals(equalsTo.getLeftExpression().toString(), equalsTo.getRightExpression().toString());
45.         } else if (where instanceof NotEqualsTo) {
46.             // example: 1 != 2
47.             NotEqualsTo notEqualsTo = (NotEqualsTo) where;
48.             return !StringUtils.equals(notEqualsTo.getLeftExpression().toString(), notEqualsTo.getRightExpression().toString());
49.         } else if (where instanceof OrExpression) {
51.             OrExpression orExpression = (OrExpression) where;
52.             return fullMatch(orExpression.getLeftExpression(), logicField) || fullMatch(orExpression.getRightExpression(), logicField);
53.         } else if (where instanceof AndExpression) {
55.             AndExpression andExpression = (AndExpression) where;
56.             return fullMatch(andExpression.getLeftExpression(), logicField) && fullMatch(andExpression.getRightExpression(), logicField);
57.         } else if (where instanceof Parenthesis) {
58.             // example: (1 = 1)
59.             Parenthesis parenthesis = (Parenthesis) where;
60.             return fullMatch(parenthesis.getExpression(), logicField);
61.         }
63.         return false;
64.     }
66.     /**
67.      * 获取表名中的逻辑删除字段
68.      *
69.      * @param tableName 表名
70.      * @return 逻辑删除字段
71.      */
72.     private String getTableLogicField(String tableName) {
73.         if (StringUtils.isBlank(tableName)) {
74.             return StringUtils.EMPTY;
75.         }
77.         TableInfo tableInfo = TableInfoHelper.getTableInfo(tableName);
78.         if (tableInfo == null || !tableInfo.isWithLogicDelete() || tableInfo.getLogicDeleteFieldInfo() == null) {
79.             return StringUtils.EMPTY;
80.         }
81.         return tableInfo.getLogicDeleteFieldInfo().getColumn();
82.     }
83. }

复制代码

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。