حقن قاعدة البيانات

الموقع بيكتب أمر لقاعدة البيانات. لو نصّك بيشارك في بناء الأمر، ممكن تحوّل نصّك لأمر. هاد كل الحكاية.

-- الكود الغلط:
query = "SELECT * FROM users WHERE name='" + name + "'";

-- تكتب في الخانة:  ' OR '1'='1
SELECT * FROM users WHERE name='' OR '1'='1'
-- '1'='1' دايمًا صحيح → يرجع كل الصفوف

الأنواع الثلاثة

• المباشر: الرد يطلعلك على الشاشة (خطأ، جدول، 'مرحبا'.)
• العمياء (blind): ما يطلعلك شي، بس تتأكد بالوقت أو بـ صح/غلط.
• الاتحاد (union): تطلب من قاعدة البيانات تلحق نتيجتها بنتيجتك.

العلاج: لا تدمج نص، بل تمرّر بارامترات

// آمن: القاعدة بتعامل النص كبيانات، مش كأمر
db.query('SELECT * FROM users WHERE name = $1', [name]);

والتخفيف الثاني: أقل صلاحية لقاعدة البيانات. حساب الموقع ما إلوش سبب يكون admin. كذا، حتى لو نجح الحقن، الضرر محدود.