MyBatis XML — CDATA, #{}, ${}

1. CDATA란?

<![CDATA[ ]]>는 XML 파서가 내부 내용을 파싱하지 않고 순수 문자열로 처리하도록 감싸는 구문입니다.

 

왜 필요한가?

MyBatis XML 매퍼는 XML 파일이기 때문에
<, >, & 같은 특수문자는 XML 태그로 오인될 수 있습니다.

<!-- ❌ CDATA 없이 → XML 파싱 오류 -->
<if test="age > 10">
    AND age > 10        <!-- > 가 XML 닫는 태그로 오인 -->
</if>

<!-- ✅ CDATA 사용 → 안전하게 처리 -->
<if test="age > 10">
    <![CDATA[
        AND age > 10
    ]]>
</if>

 

XML 특수문자 목록

특수문자	XML 의미	SQL에서 사용 시
<	태그 시작	CDATA 또는 &lt;
>	태그 끝	CDATA 또는 &gt;
&	엔티티 시작	CDATA 또는 &amp;
"	속성값 구분	CDATA 또는 &quot;
'	속성값 구분	CDATA 또는 &apos;

 

CDATA 사용 예시

<select id="getUserList" resultType="UserDto">
    SELECT *
    FROM users
    <![CDATA[
        WHERE age >= #{minAge}
        AND salary <= #{maxSalary}
        AND created_at > #{startDate}
    ]]>
</select>

 

CDATA 범위 주의

CDATA 안에서는 MyBatis 태그(<if>, <where> 등)를 사용할 수 없습니다.
특수문자가 포함된 SQL 부분만 CDATA로 감싸는 것이 좋습니다.

<!-- ❌ CDATA 안에 MyBatis 태그 사용 불가 -->
<![CDATA[
    SELECT * FROM users
    <if test="name != null">   ← 인식 안 됨
        WHERE name = #{name}
    </if>
]]>

<!-- ✅ 특수문자가 있는 부분만 CDATA로 감싸기 -->
<select id="getUserList" resultType="UserDto">
    SELECT * FROM users
    <where>
        <if test="minAge != null">
            <![CDATA[ AND age >= #{minAge} ]]>
        </if>
        <if test="maxSalary != null">
            <![CDATA[ AND salary <= #{maxSalary} ]]>
        </if>
    </where>
</select>

 

---

2. #{} — PreparedStatement 파라미터 바인딩

#{}는 JDBC의 PreparedStatement 방식으로 값을 바인딩합니다.
값을 ?로 치환한 후 안전하게 바인딩하는 방식입니다.

동작 방식

SELECT * FROM users WHERE name = #{name}

MyBatis 처리 과정:
1. SELECT * FROM users WHERE name = ?  (? 로 치환)
2. PreparedStatement.setString(1, "홍길동")  (값 바인딩)
3. 실행

 

특징

• ✅ SQL Injection 방어
• ✅ 문자열에 자동으로 따옴표 처리
• ✅ 타입에 맞게 자동 변환
• ✅ 값(VALUE) 바인딩에 사용

사용 예시

<select id="getUser" resultType="UserDto">
    SELECT *
    FROM users
    WHERE user_id = #{userId}
    AND name = #{name}
    AND status = #{status}
</select>

<insert id="insertUser">
    INSERT INTO users (name, email, age)
    VALUES (#{name}, #{email}, #{age})
</insert>

<update id="updateUser">
    UPDATE users
    SET name = #{name},
        email = #{email}
    WHERE user_id = #{userId}
</update>

---

3. ${} — 문자열 직접 치환

${}는 값을 문자열로 그대로 치환합니다.
SQL에 값이 직접 삽입되는 방식입니다.

 

동작 방식

SELECT * FROM users WHERE name = '${name}'

MyBatis 처리 과정:
1. name = "홍길동" 이 들어오면
2. SELECT * FROM users WHERE name = '홍길동'  (그대로 삽입)
3. 실행

 

특징

• ❌ SQL Injection 위험
• ❌ 문자열 따옴표 직접 처리 필요
• ✅ 컬럼명, 테이블명, 정렬 방향에 사용
• ✅ #{} 로 대체 불가능한 경우에만 사용

${}를 써야 하는 경우

컬럼명, 테이블명, ORDER BY 방향은 #{} 로 바인딩이 불가능합니다.
이런 경우에만 ${} 를 사용합니다.

<!-- 동적 정렬 -->
<select id="getUserList" resultType="UserDto">
    SELECT *
    FROM users
    ORDER BY ${sortColumn} ${sortDirection}
</select>

<!-- 동적 테이블명 -->
<select id="getDataByYear" resultType="DataDto">
    SELECT *
    FROM ${tableName}
    WHERE year = #{year}
</select>

 

---

4. #{} vs ${} 핵심 비교

	#{}	${}
처리 방식	PreparedStatement (? 치환)	문자열 직접 치환
SQL Injection	✅ 방어됨	❌ 위험
따옴표 처리	✅ 자동 처리	❌ 직접 처리 필요
사용 대상	값 (VALUE)	컬럼명, 테이블명, 정렬 방향
주 용도	일반적인 파라미터 바인딩	동적 SQL 구조 변경

---

5. SQL Injection 위험성

${}의 SQL Injection 위험을 실제 예시로 확인합니다.

공격 시나리오

<!-- ${} 사용 시 -->
SELECT * FROM users WHERE name = '${name}'

공격자가 name에 아래 값을 입력하면:
' OR '1' = '1

쿼리가 이렇게 변함:
SELECT * FROM users WHERE name = '' OR '1' = '1'
→ 조건이 항상 TRUE → 전체 데이터 조회 ❌

 

 

#{} 를 사용하면 안전한 이유

<!-- #{} 사용 시 -->
SELECT * FROM users WHERE name = #{name}

공격자가 name에 아래 값을 입력해도:
' OR '1' = '1

PreparedStatement가 값 자체로 처리:
SELECT * FROM users WHERE name = ?
→ ? 에 "' OR '1' = '1" 문자열 자체가 바인딩
→ SQL 구조 변경 불가 ✅

---

6. ${} 사용 시 반드시 서버에서 검증

${}를 사용할 수밖에 없는 경우, 서버에서 허용된 값인지 반드시 검증해야 합니다.

❌ 백엔드에서 SQL Injection을 직접 방어하는 건 좋지 않다

// ❌ 블랙리스트 방식 — 권장하지 않음
public String sanitize(String input) {
    return input
        .replace("'", "''")
        .replace("--", "")
        .replace(";", "")
        .replace("/*", "")
        .replace("*/", "");
        // 공격 패턴은 무궁무진 → 하나라도 놓치면 뚫림
}

SQL Injection 공격 패턴은 매우 다양해서 모든 케이스를 직접 막는 건 사실상 불가능합니다.
하나라도 놓치면 취약점이 됩니다.

#{} 와 ${} 의 방어 방식 차이

${} + 백엔드 직접 검증
  개발자가 직접 구현 → 실수/누락 가능성 → 취약점 발생 가능

#{}
  JDBC PreparedStatement → DB 드라이버가 원천 차단 → 완전 안전

#{} 는 값을 SQL 구조와 완전히 분리해서 처리하기 때문에
아무리 악의적인 값이 들어와도 SQL 구조 자체가 바뀌지 않습니다.

${} 를 써야 한다면 화이트리스트 방식으로

// ✅ 화이트리스트 방식 (권장)
public List<UserDto> getUserList(String sortColumn, String sortDirection) {

    // 허용된 컬럼명만 허용
    List<String> allowedColumns = List.of("name", "age", "created_at");
    if (!allowedColumns.contains(sortColumn)) {
        throw new IllegalArgumentException("허용되지 않은 정렬 컬럼입니다.");
    }

    // 허용된 방향만 허용
    if (!sortDirection.equalsIgnoreCase("ASC")
            && !sortDirection.equalsIgnoreCase("DESC")) {
        throw new IllegalArgumentException("허용되지 않은 정렬 방향입니다.");
    }

    return userMapper.getUserList(sortColumn, sortDirection);
}

방식	설명	권장 여부
#{} 사용	DB 드라이버가 원천 차단	✅ 항상 권장
화이트리스트 검증	허용된 값 목록으로만 허용	✅ ${} 필수 시 권장
블랙리스트 검증	위험한 문자열 직접 제거	❌ 비권장

 

---

7. 실무 활용 예시

CDATA + #{} + ${} 함께 사용

<select id="getUserList" resultType="UserDto">
    SELECT
        user_id,
        name,
        email,
        age,
        salary
    FROM users
    <where>
        <if test="name != null and name != ''">
            AND name LIKE #{name}
        </if>
        <if test="minAge != null">
            <![CDATA[ AND age >= #{minAge} ]]>      <!-- >= 특수문자 CDATA 처리 -->
        </if>
        <if test="maxSalary != null">
            <![CDATA[ AND salary <= #{maxSalary} ]]> <!-- <= 특수문자 CDATA 처리 -->
        </if>
        <if test="status != null">
            AND status = #{status}
        </if>
    </where>
    ORDER BY ${sortColumn} ${sortDirection}          <!-- 동적 정렬 ${}  -->
</select>

 

Oracle IN 절 처리

<select id="getUserByIds" resultType="UserDto">
    SELECT *
    FROM users
    WHERE user_id IN
    <foreach collection="ids" item="id" open="(" separator="," close=")">
        #{id}   <!-- foreach 안에서도 #{} 사용 -->
    </foreach>
</select>

 

---

8. 최종 정리

항목	CDATA	#{}	${}
용도	XML 특수문자 처리	값 바인딩	문자열 직접 치환
SQL Injection	해당 없음	✅ 안전	❌ 위험
사용 대상	<, >, & 포함 SQL	값(VALUE)	컬럼명, 테이블명
주의사항	내부에 MyBatis 태그 불가	없음	반드시 서버 검증 필요

 

값을 바인딩 할때는 항상 #{} 을 사용하고,
컬럼명이나 테이블명처럼 구조적인 변경이 필요할 때만 ${} 를 사용하되, 반드시 서버에서 검증을 거쳐야 한다.
<, > 와 같은 XML 특수문자가 SQL에서 필요하다면 CDATA로 감싸서 사용하기 !