文章更新时间：2023年8月25日 14:30
组件简介
| 维护者 | mybatis组织 | 许可证类型 | Apache-2.0 |
| 首次发布 | 2013 年11月9日 | 最新发布时间 | 2023年3月11日 |
| GitHub Star | 18840 | GitHub Fork | 12468 |
| 依赖包 | 1,612 | 依赖存储库 | 87,034 |
MyBatis SQL 映射器框架使得在面向对象的应用程序中使用关系数据库变得更加容易。 MyBatis 使用 XML 描述符或注释将对象与存储过程或 SQL 语句结合起来。简单性是 MyBatis 数据映射器相对于对象关系映射工具的最大优势。
官网：https://mybatis.org/mybatis-3/zh/index.html
仓库地址：https://github.com/mybatis/mybatis-3
参考链接：
https://packages.ecosyste.ms/registries/repo1.maven.org/packages/org.mybatis:mybatis-spring
组件健康度
| 技术健康度 | 该组件的技术健康度很高，它提供了简单而强大的 API，可以方便地操作数据库，消除了大量的 JDBC 代码和参数设置。它还支持 XML 和注解两种方式来配置和映射 Java 对象和数据库记录。它的设计理念是“优先使用约定，而不是配置”，使得开发者可以专注于业务逻辑，而不是繁琐的配置细节。 |
| 社区健康度 | 该组件的社区健康度也很高，它有一个活跃的开发团队和一个庞大的用户群。它在 GitHub 上有超过 10,000 个星标和 6,000 多个 fork，在 Stack Overflow 上有超过 40,000 个问题和答案。它还有一个专门的邮件列表和论坛，供开发者和用户交流和求助。 |
| 更新和维护频率 | 该组件的更新和维护频率也很高，它经常发布新版本，修复 bug 和增加新功能。根据其发布历史，它从 2010 年开始就保持了每年至少发布一个主要版本的节奏，最新的版本是 2023 年 3 月发布的 3.5.13。它还有一个完善的测试覆盖率，确保了代码质量。 |
| 兼容性 | 该组件的兼容性也很好，它支持多种数据库和 JDBC 驱动，包括 Oracle, MySQL, PostgreSQL, SQLite, H2, Derby 等。它还支持多种 Java 版本，从 Java 8 到 Java 17 都可以运行。它还可以与其他框架集成，如 Spring, Spring Boot, Guice, JPA 等。 |
| 文档和支持 | 该组件的文档和支持也很丰富，它有一个详细而清晰的用户指南，介绍了其基本概念、配置方法、映射语法、动态 SQL、缓存机制等。它还有一个 API 文档，提供了其所有类和方法的说明。它还提供了多种语言的文档翻译，如英语、日语、韩语、简体中文等。 |
综上所述，org.mybatis:mybatis 是一个健康度较高的组件，具有成熟的技术、活跃的社区、频繁的更新和维护、良好的兼容性和丰富的文档和支持。
参考链接：
https://mybatis.org/mybatis-3/zh/index.html
https://mybatis.org/mybatis-3/zh/getting-started.html
https://www.marcobehler.com/guides/java-databases
许可证解读
Apache License 2.0 是一种开源软件许可证，广泛用于授权开源项目和代码。Apache License 2.0 允许用户自由地使用、修改和分发受许可的软件，而无需支付版权费用或专利费用。它鼓励开发者共享他们的代码，并保护用户的权利。以下是该许可证的一些重要特点：
- 代码使用权：用户可以自由地使用、复制、修改、合并、发布、分发和销售受许可软件。
- 版权声明：用户必须在所有源代码副本中保留原始的版权声明、许可证声明和免责声明。
- 修改代码：如果用户对代码进行了修改，需要清楚标明哪些部分发生了变化，并不能暗示原作者同意这些修改。
- 商标使用：Apache License 2.0 并未授予使用原软件的任何商标或名称的权利。
- 专利许可：该许可证授予了在使用、修改或分发受许可软件时相关专利的非独占许可。这意味着如果用户授权其他人使用该软件，相关专利许可也会传递给接收方。
- 再许可：用户可以将受 Apache License 2.0 许可的代码作为一部分整合到其它开源项目中，并使用不同的许可证授权整个项目。但是，需要在代码中显式地说明使用了 Apache License 2.0 许可的部分。
需要注意的是，Apache License 2.0 并不保证软件没有缺陷或不稳定性，使用该软件的风险由用户自行承担。
许可证原文链接：https://github.com/mybatis/mybatis-3/blob/master/LICENSE
组件漏洞版本及修复方案
| 漏洞编号 | 漏洞标题 | 漏洞等级 | 影响版本 | 修复版本 |
| MPS-2020-14133 | MyBatis <3.5.6 存在反序列化漏洞 | 高危 | (-∞,3.5.6) | 3.5.6 |
同类可替代组件
- Hibernate：Hibernate 是一个开源的对象-关系映射（ORM）框架，它可以将 Java 对象自动映射到数据库表，提供了丰富的查询语言和缓存机制。Hibernate 的优点是可以跨数据库平台，支持复杂的对象关系和继承，提供了完整的 ORM 解决方案。Hibernate 的缺点是性能开销较大，需要配置大量的映射文件，不适合处理复杂的 SQL 语句。官网：https://hibernate.org/
- JPA：JPA 是 Java 持久化 API 的规范，它定义了一组接口和注解，用于管理 Java 对象和数据库之间的映射关系。JPA 的优点是可以与不同的 ORM 框架集成，如 Hibernate, EclipseLink, TopLink 等，提供了统一的编程模型和标准。JPA 的缺点是学习成本较高，需要掌握其复杂的查询语言和注解，有时候难以调试和优化。官网：https://spring.io/projects/spring-data-jpa/
- JOOQ：JOOQ 是一个基于 JDBC 的轻量级框架，它可以将 SQL 语句以 Java 代码的形式编写和执行，保证了 SQL 语句的类型安全和可读性。JOOQ 的优点是可以充分利用 SQL 的强大功能，支持多种数据库方言，提供了流畅的 DSL（领域特定语言）风格。JOOQ 的缺点是不支持 ORM 功能，需要手动处理对象和记录之间的转换，不适合处理复杂的对象关系。官网：https://www.jooq.org/
- Ebean：Ebean 是一个基于注解的 ORM 框架，它可以自动生成 SQL 语句，并提供了简单而强大的 API 来操作数据库。Ebean 的优点是使用方便，无需配置映射文件，支持自动事务管理和缓存机制，提供了丰富的查询方式。Ebean 的缺点是文档和社区相对较少，不支持多种数据库方言，有时候难以定制 SQL 语句。官网：https://ebean.io/
组件SBOM
| org.ow2.asm:asm | 7.1 | 否 | maven |
| cglib:cglib | 3.3.0 | 是 | maven |
| ch.qos.reload4j:reload4j | 1.2.25 | 是 | maven |
| org.javassist:javassist | 3.29.2-GA | 是 | maven |
| org.apache.logging.log4j:log4j-api | 2.20.0 | 是 | maven |
该SBOM清单仅展示部分内容
完整SBOM清单及检测报告：
https://www.murphysec.com/console/report/1694986383574593536/1694986388150579200?allow=1