URLのパラメータクエリを設定できますか？

Question

私は、開発者がのURLのパラメータ化されたクエリを設定してSQLインジェクションの脆弱性を緩和することができますか？例えば

：

https://example.com/somefile.php?id=1 

どのように開発者がそのためのパラメータ化クエリを行うことができますか？彼らはアプリケーションのパラメータでそうしますか？

Answer 1

はい、できます。パラメータ化されたクエリは簡単で、事前にSQLクエリを定義し、クエリ内のユーザー提供の変数にプレースホルダを使用する必要があります。その後、SQL文が定義された後、各パラメータをクエリに渡すことができ、データベースがSQLコマンドとユーザによって入力されたデータとを区別できるようになります。 SQLコマンドが攻撃者によって入力された場合、パラメータ化されたクエリはこれらを信頼できない入力として扱い、注入されたSQLコマンドは決して実行されません。より多くの理解のために、以下の例を見てください。

if (isset($_GET['id'])){ 
    $id = $_GET['id']; 
    /** 
    * Validate data before it enters the database. In this case, we need to check that 
    * the value of the 'id' GET parameter is numeric 
    */ 
    if (is_numeric($id) == true){ 
    try{ 
     $dbh = new PDO('mysql:host=localhost;dbname=sql_injection_example', 'dbuser', 'dbpasswd'); 

     $dbh->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); 

     /** 
     * Before executing our SQL statement, we need to prepare it by 'binding' parameters. 
     * We will bind our validated user input (in this case, it's the value of $id) to our 
     * SQL statement before sending it to the database server. 
     * 
     * This fixes the SQL injection vulnerability. 
     */ 
     $q = "SELECT username 
      FROM users 
      WHERE id = :id"; 
     // Prepare the SQL query 
     $sth = $dbh->prepare($q); 
     // Bind parameters to statement variables 
     $sth->bindParam(':id', $id); 
     // Execute statement 
     $sth->execute(); 

     $sth->setFetchMode(PDO::FETCH_ASSOC); 
     // Fetch result 
     $result = $sth->fetchColumn(); 
     /** 
     * HTML encode our result using htmlentities() to prevent stored XSS and print the 
     * result to the page 
     */ 
     print(htmlentities($result)); 

     $dbh = null; 
    } 
    catch(PDOException $e){ 
     /** 
     * You can log PDO exceptions to PHP's system logger, using the Operating System's 
     * system logging mechanism 
     * 
     * For more logging options visit http://php.net/manual/en/function.error-log.php 
     */ 
     error_log('PDOException - ' . $e->getMessage(), 0); 
     /** 
     * Stop executing, return an 'Internal Server Error' HTTP status code (500), 
     * and display an error 
     */ 
     http_response_code(500); 
     die('Error establishing connection with database'); 
    } 
    } else{ 
    /** 
    * If the value of the 'id' GET parameter is not numeric, stop executing, return 
    * a 'Bad request' HTTP status code (400), and display an error 
    */ 
    http_response_code(400); 
    die('Error processing bad or malformed request'); 
    } 
} 
?> 

Answer 2

この問題はURLではなく、後でURLで渡されるパラメータをどのように使用するかによって異なります。

ベストな方法は、バインド変数を使用することである：

• How do prepared statements help us prevent SQL injection attacks?。
• How can I prevent SQL injection in PHP?

また、「治療」またはエスケープおよび/または不審なデータを除去することによって、あなたのパラメータを「サニタイズ」することができます。これは通常、間違いの影響を受けやすくするためには非常に難しいことです。したがって、バインド変数は使用するだけで簡単で安全です。