SQL-инъекция

Коротко: При SQL-инъекции злоумышленник внедряет в поле ввода собственные команды базы данных, потому что приложение подставляет ввод в запрос без проверки.

Подробнее: Вход, который собирает запрос как текст (... WHERE name = ' + ввод + '), можно обмануть вводом ' OR '1'='1. Последствия — от обхода входа до чтения или удаления всей базы данных.

Подробности

• Защита: параметризованные запросы (prepared statements). Ввод передаётся отдельно от команды и никогда не читается как код.
• ORM: Современные фреймворки по умолчанию используют параметры, пока вы не собираете сырой текст.
• Дополнительные меры: минимальные права базы данных, проверка ввода, не показывать сообщения об ошибках.
• Проверка: сканеры безопасности и ревью кода.

См. также: OWASP Top 10, XSS (межсайтовый скриптинг)