Untuk mengelakkan suntikan SQL, gunakan pertanyaan parameter. Ini menyimpan input pengguna yang berasingan dari struktur arahan SQL, memastikan bahawa input berniat jahat tidak dapat mengubah logik pertanyaan. Suntikan SQL berlaku apabila penyerang memanipulasi medan input untuk mengubah tingkah laku pertanyaan, seperti memintas pengesahan. Pertanyaan Parameterized merawat semua input sebagai data, bukan kod yang boleh dilaksanakan, dengan menggunakan ruang letak seperti? ,: nama pengguna, atau $ 1. Contoh dalam Python, PHP, dan Node.js menunjukkan cara melaksanakannya dengan betul. Amalan terbaik termasuk mengesahkan input, mengelakkan penyambungan rentetan, menggunakan ORMS, mengehadkan kebenaran pangkalan data, dan mengelakkan SQL mentah melainkan perlu. Kesilapan biasa -seperti menggunakan interpolasi rentetan atau pertanyaan dinamik yang tidak dapat disuntik -boleh membenarkan suntikan, jadi selalu sahkan bagaimana nilai disampaikan kepada pertanyaan.

Untuk mengelakkan suntikan SQL, anda perlu menggunakan pertanyaan SQL parameterized -juga dikenali sebagai pernyataan yang disediakan. Ini menyimpan input pengguna yang berasingan dari struktur arahan SQL, jadi kod berniat jahat tidak dapat mengubah niat pertanyaan.

Apakah suntikan SQL dan mengapa parameterisasi membantu

Suntikan SQL berlaku apabila penyerang memakan aplikasi anda sebagai input yang dibuat yang mengubah logik pertanyaan pangkalan data. Sebagai contoh, bukannya memasukkan nama pengguna, mereka mungkin menaip sesuatu seperti ' OR '1'='1 , yang boleh menipu aplikasi anda ke dalam pembalakan mereka tanpa kelayakan yang sah.

Pertanyaan Parameterized Menyelesaikan ini dengan merawat semua input pengguna dengan ketat sebagai data, bukan kod yang boleh dilaksanakan. Apabila anda menggunakan tempat letak (seperti ? Atau parameter yang dinamakan seperti :username ), pangkalan data tahu bahagian apa arahan dan bahagian apa yang hanya nilai yang perlu dipadankan.

Cara menulis pertanyaan parameter dalam bahasa yang sama

Bahasa dan kerangka yang berbeza mempunyai sintaks mereka sendiri untuk pertanyaan parameter, tetapi idea itu tetap sama: Tentukan pertanyaan dengan ruang letak, kemudian berikan nilai secara berasingan.

Berikut adalah contoh dalam beberapa persekitaran yang popular:

• Python (dengan SQLite atau PostgreSQL menggunakan psycopg2 ) :

   cursor.execute ("Pilih * dari pengguna di mana nama pengguna = %s dan kata laluan = %s", (nama pengguna, kata laluan))

• PHP (menggunakan PDO) :

   $ stmt = $ pdo-> Sedia ("Pilih * dari pengguna di mana nama pengguna =: nama pengguna dan kata laluan =: kata laluan");
  $ stmt-> Execute (['username' => $ username, 'password' => $ password]);

• Node.js (menggunakan perpustakaan pg untuk PostgreSQL) :

   const query = {
    Teks: 'Pilih * dari pengguna di mana nama pengguna = $ 1 dan kata laluan = $ 2',
    Nilai: [nama pengguna, kata laluan],
  };
  client.Query (pertanyaan);

Menggunakan format ini memastikan input dapat dilepaskan dengan betul dan ditafsirkan dengan selamat.

Amalan terbaik untuk diikuti bersama parameterisasi

Walaupun anda menggunakan pertanyaan parameter, terdapat beberapa lagi tabiat yang membantu menjaga sistem anda selamat:

• Sentiasa mengesahkan dan membersihkan input pengguna sebelum menyampaikannya ke pertanyaan.
• Jangan concatenate string SQL secara dinamik berdasarkan input pengguna -walaupun anda fikir ia selamat.
• Gunakan alat ORM di mana mungkin (seperti SQLalchemy, Django Orm, atau Laravel fasih) kerana mereka sering mengendalikan parameterisasi secara automatik.
• Hadkan keizinan pangkalan data -jangan berikan pengguna DB aplikasi anda lebih banyak akses daripada yang diperlukan.

Juga, elakkan membina SQL mentah secara manual kecuali perlu. Banyak rangka kerja moden menjadikannya mudah untuk berinteraksi dengan pangkalan data menggunakan abstraksi yang lebih selamat.

Kesalahan biasa yang masih membenarkan suntikan

Walaupun cuba melakukan perkara yang betul, beberapa kesilapan boleh meninggalkan lubang:

• Secara tidak sengaja jatuh ke interpolasi rentetan di dalam pertanyaan, seperti:

   # ? Contoh buruk
  cursor.execute (f "pilih * dari pengguna di mana username = '{username}'")

• Menggunakan prosedur tersimpan tetapi masih menggabungkan nilai -nilai di dalamnya.
• Mishandling pertanyaan dinamik (seperti penapis carian) tanpa menggunakan nama medan yang melarikan diri atau putih yang betul.

Oleh itu, semakan semula bagaimana nilai-nilai yang disampaikan kepada pertanyaan, terutamanya ketika bekerja dengan SQL yang kompleks atau dinamik.

Itulah pada dasarnya bagaimana anda melindungi daripada suntikan SQL menggunakan pertanyaan parameter. Ia mudah apabila anda terbiasa dengan corak, dan kebanyakan alat hari ini menjadikannya mudah untuk mengikuti amalan terbaik.

Atas ialah kandungan terperinci Bagaimanakah saya menyediakan dan melaksanakan pertanyaan SQL parameter untuk mengelakkan suntikan SQL?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!