Запропонувати правку

Покращити цю статтю

Допрацюйте відповідь до «Як захиститися від SQL-ін'єкцій?». Ваші зміни проходять модерацію перед публікацією.

Потрібне підтвердження

Контент

Що ви змінюєте

Заголовок (UA)

Коротка відповідь (UA)

Показується над повною відповіддю для швидкого нагадування.

Відповідь (UA)

Захист від SQL-ін'єкцій будується на тому, щоб **не дозволити користувачу напряму впливати на SQL-запит**.

### Основні способи

Ось основні способи:

1. **Використовувати параметризовані запити (prepared statements).**
Замість склеювання рядків з уведенням користувача - передавати дані як параметри.
Приклад (Python + PostgreSQL):

```python
  cursor.execute("SELECT * FROM users WHERE login = %s", (user_input,))
  ```
Тут введення не вставляється в текст запиту, а передається безпечно.
2. **Не формувати запити через конкатенацію рядків.**
Ніколи не робити так:

```python
  "SELECT * FROM users WHERE login = '" + user_input + "'"
  ```
3. **Перевіряти й обмежувати введені дані.**
Дозволяти лише допустимі символи, довжину й формат (наприклад, лише літери й цифри).
4. **Використовувати ORM чи фреймворки.**
Наприклад, SQLAlchemy, Django ORM, Hibernate - вони автоматично екранують параметри.
5. **Обмежувати права користувачів БД.**
Застосунок має підключатися під користувачем, у якого **немає прав** на видалення таблиць чи зміну схеми.
6. **Логувати й відстежувати підозрілі запити.**
Щоб швидко помітити спроби зламу.

**Підсумок:** захист від SQL-ін'єкцій - це **параметри замість рядків**, **валідація даних** і **мінімальні права** в облікового запису бази.

Markdown · перетягуйте зображення · ⌘B / ⌘I шорткати169 слів

Для рев’юера

Примітка для модератора (необов’язково)

Бачить лише модератор. Прискорює рев’ю.