漏洞概述 该漏洞涉及SQL视图中的SQL注入问题。具体来说，SQL视图代码通过 和 请求参数输入，存在SQL注入风险。 影响范围 SQL视图代码：通过 和 请求参数输入，存在SQL注入风险。 API响应：在注入攻击下，API响应可能返回敏感数据或错误信息。 修复方案 1. 使用JDBC参数绑定： - 使用JDBC参数绑定来替代直接拼接SQL查询，防止SQL注入。 - 示例： 2. 使用双引号包裹标识符： - 对 参数输入中的标识符（如列名）使用双引号包裹，防止SQL注入。 - 示例： POC代码 页面中未提供具体的POC代码，但提供了新旧查询的对比示例，展示了如何通过参数绑定和标识符包裹来修复SQL注入问题。 API响应变化 过滤/条件查询： - 修复前：返回敏感数据或错误信息。 - 修复后：返回空响应或错误信息，不返回敏感数据。 字段查询： - 修复前：返回敏感数据。 - 修复后：返回错误信息，不返回敏感数据。 测试 添加了自动化测试，包括SQL查询类型、SQL视图类型、过滤查询、字段查询、条件查询等。 总结 该漏洞通过SQL注入风险影响SQL视图代码，修复方案包括使用JDBC参数绑定和双引号包裹标识符，确保API响应不再返回敏感数据。