SQL Injection และคำสืบค้นแบบกำหนดพารามิเตอร์

SQL Injection คืออะไร

ตัวอย่างแบบคลาสสิก

<?php
// VULNERABLE: attacker enters username = "' OR '1'='1"
$sql = "SELECT * FROM users WHERE username = '".$_GET["username"]."'";
// Becomes: SELECT * FROM users WHERE username = '' OR '1'='1'
// Returns ALL users!

ตัวอย่างการลักลอบนำข้อมูลออก

// Input: ' UNION SELECT username, password FROM admin_users--
// This appends a second SELECT returning admin credentials

คำสั่งที่เตรียมไว้คือทางแก้

<?php
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ?");
$stmt->execute([$_GET["username"]]);
// Safe even if username = "' OR 1=1--"

ตัวแทนตำแหน่งแบบมีชื่อ

<?php
$stmt = $pdo->prepare(
    "SELECT * FROM users WHERE email = :email AND active = :active"
);
$stmt->execute([":email" => $email, ":active" => true]);

Eloquent ปลอดภัยโดยค่าเริ่มต้น

<?php
// Safe:
User::where("email", $email)->first();

// UNSAFE: raw query with user input!
DB::select("SELECT * FROM users WHERE email = ".$email);

คำค้นหาแบบดิบ

<?php
// Safe raw query:
$users = DB::select("SELECT * FROM users WHERE email = ?", [$email]);

// Or with named bindings:
$users = DB::select("SELECT * FROM users WHERE email = :email", [":email" => $email]);

การแทรกคำสั่งในส่วนคำสั่ง LIKE

<?php
$search = str_replace(["%", "_", "\\"], ["\%", "\_", "\\\\"], $userInput);
$stmt = $pdo->prepare("SELECT * FROM products WHERE name LIKE ?");
$stmt->execute(["%$search%"]);

การแทรกคำสั่งใน ORDER BY

<?php
$allowedColumns = ["name", "price", "created_at"];
$col = in_array($request->sort, $allowedColumns) ? $request->sort : "name";
$dir = $request->dir === "desc" ? "desc" : "asc";
// Then safely build the query string

โพรซีเยอร์ที่จัดเก็บไว้

หลักการให้สิทธิ์น้อยที่สุด

สรุป

ตรวจสอบความเข้าใจอย่างรวดเร็ว