springboot防止sql注入配置

在 Spring Boot 中，可以通过配置 MyBatis 或者 JPA 来防止 SQL 注入攻击。

对于 MyBatis，可以在 SQL 语句中使用预编译参数，例如：

@Select("SELECT * FROM user WHERE username = #{username} AND password = #{password}")
User getUser(@Param("username") String username, @Param("password") String password);

在这个例子中，使用了 `#{}` 占位符，MyBatis 会将参数进行预编译，防止 SQL 注入攻击。

对于 JPA，可以使用 Spring Data JPA 提供的查询方法，例如：

public interface UserRepository extends JpaRepository<User, Long> {
    User findByUsernameAndPassword(String username, String password);
}

在这个例子中，使用了 Spring Data JPA 提供的查询方法，它会将参数进行预编译，防止 SQL 注入攻击。

除了使用预编译参数，还可以对 SQL 语句进行过滤和转义，例如：

String username = "admin' OR '1'='1";
String password = "123456";
username = username.replaceAll("'", "''");
password = password.replaceAll("'", "''");
String sql = "SELECT * FROM user WHERE username = '" + username + "' AND password = '" + password + "'";

在这个例子中，使用了 `replaceAll()` 方法将 SQL 语句中的单引号 `'` 转义为两个单引号 `''`，防止 SQL 注入攻击。

需要注意的是，虽然预编译参数和过滤转义可以有效地防止 SQL 注入攻击，但并不能完全保证 SQL 的安全性。因此，在使用时还应该加强对参数的验证和过滤，以提高系统的安全性。