您好：
我是360代码卫士的工作人员，在我们的开源代码检测项目中发现Movie_Recommend存在sql注入漏洞。
详细信息如下：
在indexController.java文件的showtypesortmovie()中接受了请求中的sort参数并绑定到Selectquery对象中
最后调用了SortMoiveBycategory方法，跟进该方法对应的xml
由于mybatis中order by 后面的参数如果是用的#,排序将不起效果，所以开发人员用的$，但这样同时也导致了sql注入的存在。
复现：略
修复方法：在java层面上做映射，比如说用户只能输入1-5，然后在代码层面将其映射为字段名，然后再使用${}
您好：
我是360代码卫士的工作人员，在我们的开源代码检测项目中发现Movie_Recommend存在sql注入漏洞。
详细信息如下：
在indexController.java文件的showtypesortmovie()中接受了请求中的sort参数并绑定到Selectquery对象中
最后调用了SortMoiveBycategory方法，跟进该方法对应的xml
由于mybatis中order by 后面的参数如果是用的#,排序将不起效果，所以开发人员用的$，但这样同时也导致了sql注入的存在。
复现：略
修复方法：在java层面上做映射，比如说用户只能输入1-5，然后在代码层面将其映射为字段名，然后再使用${}