defektologs.lv Par web izstrādes lietām

Kā pasargāt sevi no SQL injekcijām

Mūžam vecā lieta, kad kāds aizmirsis pārbaudīt datus, pirms tos liek SQL pieprasījumā, un kāds cits ir atklājis šo ievainojamību. Kā tad maksimāli izvairīties no šādām problēmām?

Ir redzētas dažādas datubāžu pieprasījumu veidošanas klases, bet tā īsti nav sanācis izmantot nevienu. Tad nu lūk, kādas īsti ir priekšrocības mysql_query() iebāzt kādā citā funkcijā? Tādas, ka tā cita funkcija var darīt vēl šo to, piemēram, palīdzēt debug’ot kodu. Precīzāk, saskaitīt nosūtīto pieprasījumu skaitu, izpildes laiku un visu pārējo, ko vēlies redzēt.

Bet ne par to ir runa. Neturēšu sveci zem pūra un parādīšu, manuprāt, nozīmīgāko, kas man neļauj aizmirst, par datu drošību. Kveriju sastādu pēc printf() principa, nevis līmējot stringus. Pieprasījuma veidošana izskatīsies šādi:

$db->query("SELECT id FROM `tabula` WHERE lauks1=%d AND laiks2=%s AND lauks3=%.2f OR lauks4=NOW()", $var1, $var2, $var3);

Tālāko varat iedomāties paši.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21

function query($query){
	if(func_num_args()>1){
		$args = func_get_args();
		$query = call_user_func_array(array($this, 'make_args'), $args);
	}
	$this->queries[] = $query; // etc
	return mysql_query($query);
}
 
function make_args(){
	$args = func_get_args();
	$arr = array($args[0]);
	foreach($args as $arg){
		$arr[] = $arg==='' ? 'NULL' : ($this->is_numeric($arg) ? $arg : "'".mysql_real_escape_string($arg)."'"); // eskeipojam katru mainīgo, ja tas nepieciešams
	}
	return call_user_func_array('sprintf', $arr);
}
 
function is_numeric($what){
	return (!preg_match('/^\-?\d+(\.\d+)?$/D', $what) || preg_match('/^0\d+$/D', $what)) ? false : true;
}

Arī update funkciju esmu uztaisījis savu, kur padodu tikai masīvu ar atjaunojamajiem laukiem

$db->update('tabula', $id, array(
	'lauks1' => $var1,
	'lauks2' => $var2,
	'~lauks3' => 'NOW()' // SQL'iskas funkcijas nevajag apstrādāt
));

Un konstruējot pieprasījumu, apstrādājam mainīgos

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

function update($table, (int)$id, $updates, $id_field = 'id'){
	$update = array();
	foreach($updates as $key=>$val){
		list($field, $value) = $this->process_pair($key, $val);
		$update[] = "$field=$value";
	}
	$update = implode(", ", $update);
	return $this->query("UPDATE `$table` SET $update WHERE $id_field=$id");
}
 
function process_pair($field, $value){
	$escape = true;
	if($field[0]=='~'){ // eskeipot mainīgo ?
		$escape = false;
		$field = substr($field, 1);
	}
	return array($field, ($value==='' ? 'NULL' : ($this->is_numeric($value) ? $value : "'".mysql_real_escape_string($value)."'")));
}

Rezultātā praktiski visi mainīgie tiks eskeipoti automātiski un aizmirst par mysql_real_escape_string() lietošanu būs gandrīz neiespējami. Tāpat man patīk arī sintakse, kur nav jālipina kopā stringi.

Jāatzīst, ka diezgan pasen kaut kur jau manīju šādu risinājumu, taču biju piemirsis un pirms pāris mēnešiem atcerējos, nolēmu, ka toreiz manītā ideja man tīri labi patīk un nu jau kādu laiku pats lietoju praksē.