SQL-Injection mit parametrisierten Abfragen verhindern

Ziel

Ausschliessen, dass von Nutzenden kontrollierter Text die Struktur eines SQL-Statements verändern kann.

Voraussetzungen

Ein Datenbanktreiber oder Query-Builder mit Unterstützung für gebundene Parameter (das leisten alle gängigen).

Schritte

1. Statements mit Platzhaltern schreiben und Werte getrennt übergeben: WHERE id = :id mit einem Parameter-Dictionary, nie ein f-String oder %-Formatierung mit Nutzerdaten.
2. Für die üblichen Fälle den ORM oder Query-Builder verwenden; bei handgeschriebenem SQL für jeden Wert Parameter verwenden, auch für Werte aus der eigenen Konfiguration.
3. Wo Tabellen- oder Spaltennamen variieren müssen (Sortierung nach einer von Nutzenden gewählten Spalte), die Auswahl im Code auf eine feste Positivliste von Identifikatoren abbilden.
4. Der Datenbankrolle, die die Anwendung nutzt, minimale Rechte geben: kein DDL, kein Zugriff auf unbeteiligte Schemata.
5. Jedes Vorkommen von String-Aufbau in der Nähe von SQL im Code-Review und mit einer Linter-Regel prüfen.

Erwartetes Ergebnis

Eingaben wie ' OR 1=1 -- werden als reiner Text gespeichert oder verglichen; die Datenbankrolle kann selbst dann keinen Schaden anrichten, wenn ein Statement eingeschleust würde.

Grenzen und Prüfbasis

Parameter schützen Werte, nicht Identifikatoren oder LIMIT-Ausdrücke bei manchen Treibern; dafür braucht es Positivlisten. Gespeicherte Prozeduren und dynamisches SQL innerhalb der Datenbank können das Problem erneut einführen. Die Anleitung folgt dem zitierten Cheat Sheet.