เปิดเผยคำค้น SQL อย่างปลอดภัย

เซิร์ฟเวอร์ MCP สามารถให้ข้อมูลจริงแก่โมเดลได้ด้วยการนำ ฐานข้อมูล ไว้เบื้องหลังเครื่องมือ ทำให้ AI ถามคำถามแทนการเข้าถึงตารางดิบโดยตรง 🗄️

เพื่อความปลอดภัย ให้เริ่มด้วยการเปิดให้เข้าถึงแบบ อ่านเท่านั้น ให้โมเดลค้นหาและรายงานข้อมูลได้ แต่ปิดการเพิ่ม แก้ไข และลบข้อมูลไว้

อย่านำข้อความจากโมเดลไปใส่ใน SQL โดยตรง เพราะจะเปิดช่องให้เกิด การแทรกคำสั่ง SQL ซึ่งอินพุตที่สร้างขึ้นเป็นพิเศษสามารถเขียนคำค้นของคุณใหม่และทำให้ข้อมูลรั่วไหลหรือถูกทำลาย

วิธีแก้คือใช้ คำค้นแบบมีพารามิเตอร์ โดยเขียนตัวแทนค่า แล้วให้ไดรเวอร์ผูกค่าอย่างปลอดภัย ทำให้อินพุตไม่สามารถเปลี่ยนรูปแบบคำค้นได้

ให้โมเดลส่งค่าเป็น อาร์กิวเมนต์ ที่มีชนิดข้อมูลกำกับ จากนั้นคุณจึงสร้างคำค้น โมเดลส่งข้อมูลมาเท่านั้น ไม่ใช่ข้อความ SQL เอง

เก็บ SQL ที่ ตายตัว ไว้ในโค้ด และใส่เฉพาะพารามิเตอร์ที่ผูกค่าแล้วเท่านั้น การล็อกรูปแบบคำค้นเป็นวิธีที่ง่ายที่สุดในการรักษาความปลอดภัย

เพิ่มการป้องกันอีกชั้นด้วยการเชื่อมต่อโดยใช้ผู้ใช้ฐานข้อมูลแบบ อ่านอย่างเดียว แม้เครื่องมือจะมีข้อผิดพลาด ก็ไม่สามารถแก้ไขหรือลบข้อมูลของคุณได้ในทางกายภาพ

จำกัดจำนวนแถวด้วย LIMIT เสมอ เพื่อไม่ให้คำค้นที่กว้างเกินไปดึงข้อมูลตารางขนาดใหญ่เข้าสู่โมเดลจนใช้โควตาโทเคนเกินกำหนด

หากโมเดลเลือกตาราง ให้ตรวจสอบกับ รายการที่อนุญาต ปฏิเสธทุกสิ่งที่ไม่อยู่ในรายการ แทนที่จะเชื่อชื่อที่ได้รับทันที

จัดรูปแบบผลลัพธ์เป็นข้อความสะอาดหรือระเบียนแบบเรียบง่าย เพื่อให้โมเดลอ่านได้ง่าย ขั้นตอนการให้เหตุผลถัดไปจะชัดเจนได้เมื่อข้อมูลขาเข้าและขาออกมีความชัดเจน

เลือกเฉพาะคอลัมน์ที่งานต้องใช้ การไม่นำ ข้อมูลลับ เช่น ค่าแฮชรหัสผ่านออกมา จะช่วยเก็บข้อมูลส่วนตัวให้พ้นจากโมเดลโดยสิ้นเชิง

คุณเปิดให้ใช้ฐานข้อมูลอย่างปลอดภัยแล้ว ได้แก่ คำค้นแบบอ่านอย่างเดียวที่มี พารามิเตอร์ ตารางที่อยู่ในรายการอนุญาต และการจำกัดจำนวนแถว ต่อไปคือการห่อส่วนติดต่อเว็บ API 🎯