Кайсы суроо-талап түрлөрүн эң коопсуз деп эсептейсиз жана эмнеге?

Эң коопсузуулар — параметрленген (prepared) суроолор жана ORM-суроолор, алар автоматтык түрдө кирүү маалыматтарын escap кылат.

Алар SQL-инъекцияларды алдын алат — колдонуучу киргизүүсү аркылуу зыяндуу SQL-кодду киргизүү учурлары.

Мисал:

• Параметрленген суроодо, параметрлер SQL-коддон отделдүү берилет, бул суроонун түзүлүшүн өзгөртүүнүн алдын алат.

• Стрингдерди бириктирүүдөн айырмаланып, колдонуучунун киргизүүсү түз суроого киргизилет.

Мисал үчүн, Java JDBC:

String sql = "SELECT * FROM users WHERE username = ?";
PreparedStatement ps = connection.prepareStatement(sql);
ps.setString(1, userInput);
ResultSet rs = ps.executeQuery();

Бул ыкма коопсузураак, төмөнкүчө:

String sql = "SELECT * FROM users WHERE username = '" + userInput + "'";
Statement stmt = connection.createStatement();
ResultSet rs = stmt.executeQuery(sql);

Ошондуктан, коопсуздук үчүн, тест жана өнүктүрүүдө, параметрленген суроолорду колдонуу сунушталат.