码迷,mamicode.com
首页 > 其他好文 > 详细

记录一次bug解决过程:else未补全导致数据泄露

时间:2016-08-31 11:52:40      阅读:174      评论:0      收藏:0      [点我收藏+]

标签:

一、总结

  1. 快捷键ctrl + alt + 四个方向键 --> 倒置屏幕
  2. 未补全else逻辑,倒置查询数据泄露

二、BUG描述:else逻辑未补全,倒置查询数据泄露

在查询筛选参数的时候,有如下逻辑:

            if (StringUtils.isNotBlank(logisticsOrder.getParentIds())) { // 所属复合单
                String[] ids = SqlStringUtil.sliptQueryStr(logisticsOrder.getParentIds());
                for (String id : ids) {
                    if (!StringUtils.isNumeric(id)) {
                        throw new ServiceException(ErrorCode.param_number);
                    }
                }

                List<Integer> orderIds = assetBeanMapperExt.getOrderIdsByParentIds(SqlStringUtil.formatInStr(logisticsOrder.getParentIds()));

                if (CollectionUtils.isNotEmpty(orderIds)) {
                    StringBuffer sb = new StringBuffer();
                    for (Integer orderId : orderIds) {
                        sb.append(orderId.toString());
                        sb.append(",");
                    }
                    if (StringUtils.isBlank(logisticsOrder.getQueryIds())) {
                        _map_result.put("queryIds", sb.substring(0, sb.length() - 1));
                    } else { // 工单编号、所属复核单 同时查询
                        _map_result.put("queryIds",
                                        sb.append(SqlStringUtil.formatInStr(logisticsOrder.getQueryIds())).toString());
                    }
                } else {
                    _map_result.put("queryIds", "-1");
                }
            }

由于未补全orderIds为空的逻辑,导致没有把参数传入,因此全量数据被查询了出来。因此要补全else情况,插入“-1”,做为查询条件。但这里同时要注意,如果数据库中该字段是无符号整型,那么就不可以这样做了。

三、BUG描述:

记录一次bug解决过程:else未补全导致数据泄露

标签:

原文地址:http://www.cnblogs.com/RunForLove/p/5824877.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!