Bài 10. SQL Injection và bảo mật truy vấn

Khái niệm và lý thuyết

Nguyên nhân gốc: ghép chuỗi dữ liệu người dùng vào câu SQL, máy chủ không phân biệt được đâu là lệnh, đâu là dữ liệu. Cách chữa tận gốc: prepared statement: máy chủ biên dịch mẫu SQL trước, dữ liệu gửi sau và luôn được coi là giá trị thuần.

Tấn công hoạt động thế nào?

<?php
// MÃ DỄ BỊ TẤN CÔNG
$sql = "SELECT * FROM nguoidung WHERE email = '$email' AND mat_khau = '$mk'";

Nhập email là ' OR '1'='1' -- , câu lệnh thành:

SELECT * FROM nguoidung WHERE email = '' OR '1'='1' -- ' AND mat_khau = 'x'
-- điều kiện luôn đúng, phần sau bị chú thích -> đăng nhập không cần mật khẩu

-- Ô tìm kiếm: ?id=1 UNION SELECT email, mat_khau_hash FROM nguoidung
-- -> đọc trộm bảng khác

Phòng chống: prepared statement

<?php
// MySQLi
$st = $conn->prepare("SELECT id, mat_khau_hash FROM nguoidung WHERE email = ?");
$st->bind_param("s", $email);
$st->execute();
$nd = $st->get_result()->fetch_assoc();
if ($nd && password_verify($mk, $nd["mat_khau_hash"])) { /* đăng nhập */ }

// PDO
$pdo = new PDO("mysql:host=localhost;dbname=qlsv;charset=utf8mb4", "qlsv_app", $pass,
  [PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION, PDO::ATTR_EMULATE_PREPARES => false]);
$st = $pdo->prepare("SELECT * FROM sinhvien WHERE ho_ten LIKE :q AND lop_id = :lop");
$st->execute([":q" => "%$q%", ":lop" => $lop_id]);
$ds = $st->fetchAll(PDO::FETCH_ASSOC);

Không đặt dấu ? trong nháy. Với LIKE, đặt % trong giá trị, không trong mẫu SQL.

Khi không dùng được placeholder

<?php
// Tên cột, hướng sắp xếp: dùng whitelist
$cot = in_array($_GET["sort"] ?? "", ["ho_ten", "ngay_sinh", "ma_sv"], true) ? $_GET["sort"] : "ho_ten";
$huong = ($_GET["dir"] ?? "") === "desc" ? "DESC" : "ASC";
$st = $conn->prepare("SELECT * FROM sinhvien ORDER BY $cot $huong LIMIT ? OFFSET ?");
$st->bind_param("ii", $limit, $offset);
// IN (...) động
$dau = implode(",", array_fill(0, count($ids), "?"));
$st = $conn->prepare("SELECT * FROM sinhvien WHERE id IN ($dau)");
$st->bind_param(str_repeat("i", count($ids)), ...$ids);

Phòng thủ nhiều lớp

• Prepared statement cho mọi truy vấn có dữ liệu bên ngoài.
• Validate kiểu, độ dài, định dạng trước khi truy vấn.
• Tài khoản CSDL quyền tối thiểu (bài 9).
• Không hiển thị lỗi SQL cho người dùng; ghi log.
• Dùng ORM/Query Builder (Eloquent, PDO) đã bind sẵn.