Что такое SQL-инъекция и как от неё защититься?

SQL-инъекция возникает, когда приложение строит SQL-запрос путём конкатенации строк с пользовательским вводом. Если ввод не экранирован, атакующий может подменить логику запроса и выполнить произвольные команды над базой данных.

Как это работает

Рассмотрим типичный небезопасный код на Python:

username = input("Введите логин: ")
query = "SELECT * FROM users WHERE name = '" + username + "'"
cursor.execute(query)

Если пользователь введёт ' OR '1'='1, итоговый запрос станет таким:

SELECT * FROM users WHERE name = '' OR '1'='1'

Условие всегда истинно, и атакующий получит все записи таблицы. Через UNION SELECT можно вытащить данные из других таблиц, а через ; — выполнить дополнительные команды.

Основные способы защиты

• Параметризованные запросы (prepared statements) — драйвер БД отделяет код от данных, и ввод никогда не интерпретируется как SQL.
• ORM и query builder — большинство современных ORM (SQLAlchemy, Hibernate, Entity Framework) используют параметризацию по умолчанию.
• Валидация и whitelist — для имён таблиц, колонок и сортировок, которые нельзя параметризовать, применяйте строгий список допустимых значений.
• Минимальные права пользователя БД — приложение не должно подключаться под root или sa.
• Экранирование — крайняя мера, применять только если параметризация невозможна.

Пример безопасного кода

# Параметризованный запрос — ввод передаётся отдельно
cursor.execute(
    "SELECT * FROM users WHERE name = %s",
    (username,)
)

# Для динамических колонок — whitelist
allowed = {"name", "email", "created_at"}
if sort_by not in allowed:
    raise ValueError("Недопустимая колонка")
query = f"SELECT * FROM users ORDER BY {sort_by}"

Дополнительно помогают WAF, логирование подозрительных запросов и регулярные аудиты кода. Но базовая защита всегда должна быть на уровне приложения.

Итог: применяйте параметризованные запросы везде, где это возможно, а динамические части SQL строго валидируйте по whitelist — это закрывает подавляющее большинство сценариев SQL-инъекций.