兼容性判定
公开资料依据 · 建议 PoC 复核支持度none
严重度critical
置信度medium
依据规则ora.app.mybatis_dollar_orderby
怎么改
需按命中位置逐条评估改写
判定说明
${} 拼接无法静态评估且有注入面；改 #{} 绑定后再评估
库侧 / 应用侧路径
库侧改造
不可行：属应用层拼接问题
应用侧改造
可行：排序字段改白名单映射 + #{} 绑定
推荐路线：app_side。验证建议：各排序分支功能回归 + 注入用例
规则样例
SELECT * FROM CUST_INFO WHERE STATUS = #{status} ORDER BY ${sortColumn} ${sortOrder}
SELECT DEPT_ID, SUM(FEE) FROM BILL_DETAIL GROUP BY ${groupCol}
SELECT * FROM CUST_INFO ORDER BY CREATE_DATE DESC
