17

Usar ? em uma query realmente evita o SQL injection? Evita 100%? Vi este código e ouvi muitas pessoas falando sobre isso, dizendo que ajuda neste caso e como usar? Alguém poderia dar um exemplo melhor?

$query = "SELECT * FROM tabela WHERE username = ? OR username = ?";

2 Respostas 2

19

Este é um placeholder para uma consulta parametrizada (parameterized query).

É um parâmetro anônimo para a query. Ele é usado para evitar SQL Injection mesmo, mas não só. Com ele não dá para injetar partes de uma query dentro da sua query.

Seria algo como usar "SELECT * FROM tabela WHERE username = $par1 OR username = $par2" mas tem a vantagem que é controlado pelo banco de dados através da API do PHP ao invés de puramente pelo PHP, portanto é bem mais seguro. O banco de dados terá a query pronta esperando o parâmetro. Não é uma string com a query. O SQL injection ocorre por causa da manipulação de strings que, por acaso, contém queries.

Uma das formas de usar seria:

$stmt = $mysqli->prepare("SELECT * FROM tabela WHERE username = ? OR username = ?");
$stmt->bind_param('ss', $userName, $userName);

Desta forma há a vinculação da variável $userName do PHP para os dois parâmetros que a query SQL está esperando.

Este é um recurso disponível no banco de dados. Isto é chamado de prepared query. Originalmente é usado para agilizar a execução da query. Com ele uma query é cacheada pelo planejador do banco de dados permitindo algumas otimizações já que apenas os parâmetros são diferentes mas a execução segue o mesmo esquema sempre. Em alguns casos o ganho pode ser considerável.

Como consequência você ganha uma segurança maior contra SQL injection. Mas é importante notar que a segurança vem mais por um efeito colateral do recurso. Você evita que algo assim possa acontecer sem o programador perceber:

$query = "SELECT * FROM tabela WHERE username = $userName";

Suponha que alguém digite e $userName receba "" OR 1 = 1; DROP TABLE tabela;. Pronto, sua tabela foi para o espaço.

Este recurso de prepared query é disponibilizado pela API mysqli do PHP e é usado da forma indica acima.

Usei o exemplo do MySQL que é o banco de dados mais usado com PHP mas pode ser usado com qualquer outro banco de dados que forneça alguma forma de "consultas preparadas". Portanto não precisa usar apenas a mysqli. Se o banco de dados e a API do PHP que faz o acesso fornecerem o recurso, é possível usá-lo de forma padronizada. Portanto não é algo que o PHP faz por você, isto vem do banco de dados.

Só para complementar:

$stmt = $pdo->prepare("SELECT * FROM tabela WHERE username = :user OR username = :user");
$stmt->bindParam(':user', $userName);

Coloquei no GitHub para referência futura.

Isto é o PDO onde você tem mais controle como o parâmetro é usado, você coloca mais significado do que está passando e onde ele é usado. Não estou dizendo que o PDO é necessariamente melhor. Em alguns casos a sintaxe pode ser um pouco diferente.

Referência.

Sintaxe do SQL do MySQL se for usar o recurso independente do PHP ou quiser entender melhor o recurso.

6
  • Interessante, não sabia desta questão de ser o banco de dados, ao invés do php.Também não sabia que agilizava a execução da query... Commented 26/06/2014 às 21:53
  • Me surgiu uma outra dúvida, mas vou colocar como pergunta, se der me responde lá também. Cara estou gostando disso. Receber conhecimento é algo impolgante. Valeu ai bigown! Commented 26/06/2014 às 21:59
  • Se não for relacionado, é melhor outra pergunta mesmo. Se eu souber e tiver tempo, eu respondo. Eu ainda vou melhorar algumas coisas na pergunta, mas vou fazer com calma agora.
    – Maniero
    Commented 26/06/2014 às 22:06
  • Se vale a sugestão, tecnicamente paramterized query é a técnica em si, a interrogação é um simples placeholder Commented 27/06/2014 às 12:02
  • @BrunoAugusto Boa, fica melhor assim mesmo, editado. O crédito é seu.
    – Maniero
    Commented 27/06/2014 às 13:36
3

Problemas de injeção de código podem ocorrer sempre que você mistura duas linguagens separadas. Por exemplo, bugs de injeção de SQL ocorrem quando tratamos dados do usuário como código SQL e passamos para o banco de dados executar e defeitos de XSS (cross site scripting) surgem quando pegamos texto do usuário e passamos para o browser como se fosse HTML (e esse HTML pode conter tags script).

Num mundo ideal, ao invés de usar strings pra representar tanto a query quanto os dados do usuário (permitindo que dados e código sql sejam concatenados/interpolados de forma perigosa) usaríamos tipos separados para esses valores que proibissem misturar um com o outro.

Tudo bem, mas então, como programar para evitar problemas com injeção?

Uma primeira alternativa é oferecer uma função de "escape", que converta dados do usuário em código seguro. Por exemplo, em HTML convertemos todos os & em & e em SQL protegemos as aspas. Usar uma função de escapa é uma abordagem bastante simples e comum mas você tem que ter cuidado para não escapar algo duas vezes sem querer, já que essa operação normalmente não é não é idempotente.

A segunda alternativa no caso do SQL é parametrizar a query. Ao invés de sair concatenando as coisas na mão você diz (com os ? ou alguma sintaxe similar) onde estão as "lacunas" da query e o próprio banco preenche essas lacunas com os parâmetros, que são passados separadamente. Como os dados do usuário são passados para o banco como parâmetros, não há risco deles serem executados como código SQL.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .