Tiếng Nhật IT · Bảo mật & dữ liệu
Thuật ngữ SQLインジェクション là gì?
Tấn công chèn SQL (SQL injection) (SQL injection)
| Thuật ngữ | SQLインジェクション |
|---|---|
| Cách đọc | エスキューエルインジェクション |
| Nghĩa tiếng Việt | Tấn công chèn SQL (SQL injection) |
| Tiếng Anh | SQL injection |
| Cấp độ | Thường gặp |
| Mảng chuyên môn | Bảo mật & dữ liệu |
| Chuyên ngành | Tiếng Nhật IT |
Giải thích chuyên môn
Kẻ tấn công nhập chuỗi chứa câu lệnh SQL vào ô nhập hay tham số, khiến ứng dụng chạy SQL ngoài ý muốn: lấy trộm, sửa hay xoá dữ liệu. Nguyên nhân là ghép thẳng giá trị người dùng nhập vào câu SQL. Cách chống cơ bản là dùng câu lệnh có tham số (プレースホルダ), không tự ghép chuỗi.
Lưu ý & thực tế
Hay viết tắt SQLi. Trong review, thấy câu SQL ghép bằng dấu + với biến là gần như chắc chắn bị chỉ ra.
Câu ví dụ trong công việc
入力値を文字列結合しているので、SQLインジェクションの危険があります。
Đang ghép chuỗi trực tiếp giá trị nhập vào nên có nguy cơ bị chèn SQL.
SQLインジェクション対策として、プレースホルダを使ってください。
Để chống chèn SQL, hãy dùng placeholder.