Pour éviter l'injection SQL, utilisez des requêtes paramétrées. Ceux-ci gardent l'entrée de l'utilisateur séparé de la structure de commande SQL, garantissant que la saisie malveillante ne peut pas modifier la logique de requête. L'injection SQL se produit lorsque les attaquants manipulent les champs d'entrée pour modifier le comportement de la requête, tels que le contournement de l'authentification. Les requêtes paramétrées traitent toutes les entrées comme des données, et non du code exécutable, en utilisant des espaces réservés comme? ,: Nom d'utilisateur, ou 1 $. Des exemples dans Python, PHP et Node.js montrent comment les implémenter correctement. Les meilleures pratiques incluent la validation des entrées, l'évitement de la concaténation des cha?nes, l'utilisation d'ORM, la limitation des autorisations de base de données et l'évitement du SQL brut sauf si nécessaire. Les erreurs courantes - comme l'utilisation d'interpolation de cha?ne ou de mal gérer les requêtes dynamiques - peuvent toujours permettre l'injection, alors vérifiez toujours comment les valeurs sont passées dans les requêtes.

Pour éviter l'injection SQL, vous devez utiliser des requêtes SQL paramétrées - également connues sous le nom de déclarations préparées. Ceux-ci gardent la saisie de l'utilisateur séparé de la structure de commande SQL, de sorte que le code malveillant ne peut pas modifier l'intention de la requête.

Qu'est-ce que l'injection SQL et pourquoi la paramétrage aide

L'injection SQL se produit lorsqu'un attaquant alimente votre application une entrée fabriquée qui modifie la logique d'une requête de base de données. Par exemple, au lieu d'entrer dans un nom d'utilisateur, ils peuvent taper quelque chose comme ' OR '1'='1 , ce qui pourrait inciter votre application à les enregistrer sans des informations d'identification valides.

Les requêtes paramétrées résolvent cela en traitant strictement toute entrée utilisateur sous forme de données, et non par code exécutable. Lorsque vous utilisez des espaces réservés (comme ? Ou des paramètres nommés tels que :username ), la base de données sait quelle partie est la commande et quelle partie est juste une valeur à correspondre.

Comment écrire une requête paramétrée dans les langues communes

Différentes langues et cadres ont leur propre syntaxe pour les requêtes paramétrées, mais l'idée reste la même: définissez la requête avec les espaces réservées, puis fournissez les valeurs séparément.

Voici des exemples dans quelques environnements populaires:

• Python (avec SQLite ou PostgreSQL en utilisant psycopg2 ) :

   cursor.execute ("Sélectionner * parmi les utilisateurs où le nom d'utilisateur =% s et le mot de passe =% s", (nom d'utilisateur, mot de passe))

• Php (en utilisant l'APD) :

   $ stmt = $ PDO-> Préparer ("SELECT * dans les utilisateurs où le nom d'utilisateur =: nom d'utilisateur et mot de passe =: mot de passe");
  $ stmt-> exécuter (['nom d'utilisateur' => $ nom d'utilisateur, 'mot de passe' => $ mot de passe]);

• Node.js (utilisant la bibliothèque pg pour PostgreSQL) :

   const query = {
    Texte: ?Sélectionner * parmi les utilisateurs où le nom d'utilisateur = 1 $ et le mot de passe = 2 $?,
    Valeurs: [nom d'utilisateur, mot de passe],
  };
  client.Query (requête);

L'utilisation de ces formats garantit que les entrées sont correctement échappées et interprétées en toute sécurité.

Meilleures pratiques à suivre par paramétrage

Même si vous utilisez des requêtes paramétrées, il y a quelques habitudes supplémentaires qui aident à garder votre système en sécurité:

• Valider et désinfecter toujours la saisie des utilisateurs avant de le passer à la requête.
• Ne concaténez pas dynamiquement les cha?nes SQL en fonction de l'entrée de l'utilisateur, même si vous pensez qu'elle est s?re.
• Utilisez des outils ORM dans la mesure du possible (comme Sqlalchemy, Django ORM ou Laravel Eloquent) car ils gèrent souvent automatiquement les paramétrisations.
• Limiter les autorisations de base de données - ne donnez pas à l'utilisateur DB de votre application plus d'accès que nécessaire.

évitez également de construire manuellement SQL brut sauf si nécessaire. De nombreux cadres modernes facilitent l'interaction avec les bases de données en utilisant des abstractions plus s?res.

Erreurs courantes qui permettent encore l'injection

Même lorsque vous essayez de bien faire les choses, certaines erreurs peuvent laisser des trous:

• Retour accidentellement à l'interpolation des cordes à l'intérieur de la requête, comme:

   # ? Mauvais exemple
  cursor.execute (f "SELECT * FROM Users Where username = '{username}'")

• En utilisant des procédures stockées mais toujours concaténer les valeurs directement à l'intérieur.
• Mishandling Dynamic Queries (comme les filtres de recherche) sans utiliser de noms de champ d'échappement ou de liste blanche.

Ainsi, vérifiez toujours comment les valeurs sont passées dans les requêtes, en particulier lorsque vous travaillez avec un SQL complexe ou dynamique.

C'est essentiellement la fa?on dont vous protégez contre l'injection SQL à l'aide de requêtes paramétrées. Il est simple une fois que vous vous êtes habitué au modèle, et la plupart des outils aujourd'hui facilitent la suivante des meilleures pratiques.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!