我们项目用的springboot+mybatis实现的，还有必要进行sql注入测试吗？

Question

我们项目用的springboot+mybatis实现的，还有必要进行sql注入测试吗？看很多技术文章都说新版本数据库都采用了预编译，还有必要去对所有接口参数去测一遍吗？
你们都怎么做的？用网上找的一些简单的sql注入语句没发现有啥问题…是不是就证明不存在sql注入了？

Answer 1

看你用什么形式传参了，如果是${}形式传参，百分比被sql注入。用#{}则不会，这个完全依赖于开发人员的技术能力。