Как я могу избежать атак с использованием кода на SQL?

Нет ничего «опасного» во вставке строки, содержащей - , в базу данных.

Опасно вставлять что-либо в таблицу базы данных, которая поступает непосредственно из пользовательского ввода, не обрабатывая его, иначе вы оставите себя уязвимым для атак SQL-инъекций . Пример: кодировщик позволяет пользователю вводить свое имя в поле, а пользователь вводит:

Joe '); drop table users; commit transaction; --

, а затем кодировщик помещает это в свою базу данных MySQL следующим образом:

conn.execute("insert into users (username) values ('" + userInput + "')");

Boom Пользователь удалил таблицу пользователей (при условии, что у входа в базу данных есть права на это, чего не должно быть - но это другая тема), потому что кодировщик не гарантировал, что строка от пользователя была экранирована правильно, и поэтому она была отправлена ​​непосредственно в Движок БД и злоумышленник посмеялись. : -)

Используйте любые инструменты, которые предоставляет ваша среда, чтобы гарантировать правильное экранирование строк. Например, JDBC использует для этого класс PreparedStatement . В большинстве сред есть что-то похожее.

SQL-инъекция представляет собой высокий риск безопасности для большинства веб-сайтов, которые позволяют пользователям вводить параметры в оператор, выполняемый в базе данных.

Простым примером может быть:

Поле ввода «Имя: _________

"SELECT * FROM tblCustomer WHERE Name = '" + nameInputField + "'"

Итак, если я ввожу« Боб », мы получим

"SELECT * FROM tblCustomer WHERE Name = 'Bob'"

Но если я введу« »; DROP TABLE tblCustomer ", мы получаем более зловещий

"SELECT * FROM tblCustomer WHERE Name = ''; DROP TABLE tblCustomer"

. Есть много способов избежать этих проблем, и многие из них встроены в любой язык, который вы используете, поэтому вместо того, чтобы думать обо всех хитрых возможностях"; ", "-", "/ *" и т. д., попробуйте использовать то, что уже существует.

Скажите, какой язык вы используете, и я уверен, что мы сможем рассказать вам, как избежать этих атак.

Он имел в виду SQL-инъекцию , что совершенно верно в том, что он сказал.

Проблема не в том, что такие данные существуют в базе данных, а в передаче входных данных непосредственно в базу данных без ее очистки.

Не очищая его, если кто-то передает строку, оканчивающуюся на ; , он может следовать за ней чем угодно (например, select * from sys.objects ) или что-то более злонамеренное, например, отбрасывание таблиц.

Трудно полностью защититься от этого, но если вы используете хорошую библиотеку БД из своего кода и следуете известным методам, таким как использование параметризованных запросов, вы ограничиваете возможный ущерб.

Храните столько - в своей базе данных, сколько хотите, но не передавайте это в свою базу данных, не пройдя процесс очистки (здесь жизненно важна хорошая библиотека БД - она ​​должна очищать цитаты и другие потенциально опасные материалы).

Использовать параметризованные запросы. Эти запросы представляют переменные как заполнители в SQL, например select * from person where name =? . После создания запроса SQL вы устанавливаете значения параметров в запросе. Параметризованные запросы гарантируют, что все, что было подставлено вместо заполнителя, не будет рассматриваться как часть оператора SQL.

См. статью Джеффа Этвуда для хорошего обзора параметризованных запросов.

Это не опасно, если вы правильно экранируете данные при выполнении INSERT / UPDATE / ...

А экранирование символов HTML составляет НЕ хороший подход. Представьте, что вы написали функцию, которая экранирует такие символы, и сохранили некоторый экранированный текст в базе данных. Затем вы замечаете, что ваша функция не экранировала '<', поэтому вы меняете функцию ... что теперь происходит с записями, которые уже находятся в базе данных? - Их символы '<' останутся без экранирования. Таким образом, НИКОГДА не экранируйте текст перед сохранением его в базе данных (избегайте запроса SQL, конечно). Экранирование должно происходить, когда страница HTML / XML / ... создается из текста, то есть после запроса исходного текста из базы данных!