Online 存在SQL注入问题

[ma19881117]

版本号：

2.4.6

问题描述：

Online表单查询存在SQL注入风险

截图&代码：

注入内容
' or 0<>(select count(*) from demo) or name <> '

友情提示（为了提高issue处理效率）：

• 未按格式要求发帖，会被直接删掉;
• 请自己初判问题描述是否清楚，是否方便我们调查处理；
• 针对问题请说明是Online在线功能(需说明用的主题模板)，还是生成的代码功能；
• 描述过于简单或模糊，导致无法处理的，会被直接删掉；

[zhangdaiscott]

收录 ty

[tygithub1]

请问一下，这个注入，无非是让查询条件失效，能查询到所有数据，还能做什么其他功能？

[ma19881117]

查询条件失效，就会有越权，照成完全风险！ 另外jeecg采用druid连接池，druid本身有一定sql注入控制，但像这种SQL还是存在风险，其他情况暂时未测试出来！

[tygithub1]

已修复，online查询条件不会直接拼接sql语句了，已改成预编译。

[wjcIvan]

已修复，online查询条件不会直接拼接sql语句了，已改成预编译。

2.*.*版本应该怎么修复这个漏洞