SQL. Лекция 1. Основы
Как исключить возможность SQL инъекций в PHP
Правильный способ избежать атак с использованием SQL-инъекций, независимо от того, какую базу данных вы используете, - это отделить данные от базы. Переданные значения никогда не должны интерпретироваться синтаксическим анализатором SQL как команды.
Необходимо написать запрос так, что бы пришедшее значение шло как параметр запроса и экранировалось на уровне приложения, а не хранилища данных. В такой реализации злоумышленник не сможет внедрить вредоносный SQL. Базово существуют два варианта решения этой задачи: $stmt = $pdo->prepare('SELECT * FROM products WHERE code = :code');
$stmt->execute([ 'code' => $code ]);
foreach ($stmt as $row) {
// получаем значения из $row
} 2...
📢 Безопасность веб-приложений 📢 ✨ Защита от SQL-инъекций в PHP ✨ 🌐 Безопасность является одной из наиважнейших задач веб-разработки. Неправильная обработка пользовательских данных может привести к серьезным уязвимостям, таким как SQL-инъекции. В этой серии постов, мы рассмотрим различные аспекты безопасности веб-приложений и покажем, как защитить свой код от распространенных атак. 🔑 Что такое SQL-инъекции? SQL-инъекции - это тип атаки, при которой злоумышленник использует некорректно обработанные пользовательские данные для внедрения вредоносных SQL-запросов в ваше приложение. Если ваш код не обрабатывает входные данные должным образом, злоумышленник может получить доступ к вашей базе данных, изменить данные или даже удалить таблицы. 🔐 Как защититься от SQL-инъекций в PHP? Используйте подготовленные выражения: Вместо того, чтобы вставлять пользовательские данные непосредственно в SQL-запросы, используйте подготовленные выражения с параметрами. Это позволит автоматически экранировать входные данные, защищая от SQL-инъекций. (пример 1) Используйте фильтрацию и валидацию: Проверяйте пользовательские данные на корректность и применяйте соответствующие фильтры (например, filter_var()) и валидацию, чтобы убедиться, что данные соответствуют ожидаемому формату. (Пример 2) Ограничивайте права доступа: Ограничьте права доступа к базе данных для пользователя вашего приложения. Не используйте административные учетные записи в коде приложения. Не выводите подробную информацию об ошибках: Не выводите подробные сообщения об ошибках на продакшен-сервере, чтобы злоумышленники не получали ценную информацию о вашем коде и структуре базы данных. Обновляйте исходный код и библиотеки: Регулярно обновляйте исходный код вашего приложения и используемые библиотеки, чтобы устранить возможные уязвимости. 🚀 Защита от SQL-инъекций - это лишь один из аспектов безопасности веб-приложений. В следующих постах, мы рассмотрим и другие аспекты, такие как защита от XSS, CSRF, аутентификация и авторизация.👋 #php #безопасность #sql