SQL Injection

Définition

Vulnérabilité ou un attaquant injecte du code SQL malveillant via des entrées utilisateur non assainies. L'une des failles les plus critiques et fréquentes.

Analogie

Comme un intrus qui ajoute des instructions sur un bon de commande pour se faire livrer gratuitement.

Exemple de code

// DANGEREUX
$sql = "SELECT * FROM users WHERE id = $id";

// SECURISE
$stmt = $pdo->prepare('SELECT * FROM users WHERE id = :id');
$stmt->execute(['id' => $id]);

Cas d'usage

Prévention obligatoire sur TOUTE requête SQL utilisant des données externes.

Anti-pattern

Termes liés