Parameterized query

Parameterized query ile SQL injection koruması öğrenirsin.

Parameterized query

Parametreli sorgu, SQL dizgisi ile kullanıcı verisini ayıran tekniktir. SQL dizgisinde $1, $2 gibi yer tutucular kullanılır; gerçek değerler ayrı bir dizi olarak verilir.

Örnek: pool.query("SELECT * FROM users WHERE email = $1", [email]). Bu, SQL enjeksiyonunu önler; çünkü kullanıcı verisi asla SQL dizgisiyle birleşmez. PostgreSQL, yer tutucuları güvenli şekilde değiştirir. Parametreli sorgu, veritabanı güvenliğinin temel ilkesidir.

Neden parametreli?

Parametresiz sorgu tehlikelidir. pool.query("SELECT * FROM users WHERE name = '" + ad + "'") deseninde, kötü niyetli bir ad değeri SQL'i değiştirebilir. Örneğin ad = "' OR '1'='1" tüm kullanıcıları döndürür.

Parametreli sorguda bu mümkün değildir. $1 yer tutucusu yalnızca bir değeri temsil eder; SQL yapısını değiştiremez. Bu yüzden her zaman parametreli sorgu kullan; kullanıcıdan gelen veriyi asla doğrudan SQL'e ekme.

Uygulama Sorgu dizgisini yaz

Bir SQL dizgisi tanımla: SELECT * FROM users WHERE id = $1. Bu dizgiyi text değişkenine ata. text'i console.log ile yaz.

Örnek çözümü göster

const text = "SELECT * FROM users WHERE id = $1";
console.log(text);

Kendini test et

Parçayı rolüne eşle

$1

Yer tutucu
values dizisi

Parametre değerleri
pool.query

Sorgu çalıştırır
SQL enjeksiyonu

Saldırı türü

Yer tutucuyu tamamla

const text = "SELECT * FROM users WHERE id = ____";

Cevabı göster

const text = "SELECT * FROM users WHERE id = $1";

Parametreli sorgu neyi önler?
- SQL enjeksiyonunu
- Bellek sızıntısını
- CSS hatasını
- Ağ yavaşlamasını
Cevabı göster

SQL enjeksiyonunu — Parametreli sorgu SQL enjeksiyonunu önler.

Sıradaki ders: Transactions

Deneyiminizi Geliştiriyoruz

Çerez Tercihleri

Kesinlikle Gerekli Çerezler

Analitik Çerezler