Balík Spatie pre Laravel pomáha predchádzať injekcii SQL primárne pomocou jeho použitia bezpečných metód budovania dopytov a mechanizmov filtrovania, ktoré sa vyhýbajú priamo vkladaniu vstupu používateľov do surových dotazov SQL. Kľúčové funkcie a funkcie v balíku Spatie, ktoré pomáhajú pri prevencii vstrekovania SQL, zahŕňajú:
- Metóda povolených (): Táto funkcia vám umožňuje určiť, ktoré filtre sú povolené na dopyte, ktorý účinne prijal prijateľné parametre dotazov. Obmedzením filtrov iba na tie, ktoré sú výslovne povolené, zabraňuje útočníkom v injekcii škodlivého SQL prostredníctvom neočakávaných alebo nebezpečných parametrov dopytu [2].
- Použitie Laravel's Query Builder a výrečný ORM: Spatie Balíček využíva Laravel's Query Builder a Eloquent ORM, ktoré interne používajú parametrizované dotazy a pripravené príkazy. Tieto mechanizmy automaticky viažu vstupné vstupy ako parametre, a nie ich zreťazenie do surových reťazcov SQL, čím bránia injekčným útokom [1] [4].
- Vyhýbanie sa nebezpečným funkciám RAW SQL: Balík podporuje vyhýbanie sa dotazom RAW SQL, ktoré priamo interpolujú vstup používateľa. Namiesto toho podporuje používanie bezpečných abstrakcií, ako sú filtre a rozsahy, ktoré dezinfikujú a overujú vstupy skôr, ako dosiahnu vrstvu dopytu [2] [3].
Stručne povedané, balík Spatie pomáha prevencii vstrekovania SQL poskytovaním bezpečnejšieho jazyka špecifického pre doménu (DSL) na filtrovanie a dopyt, ktorý sa spolieha na Laravelovu bezpečnú tvorbu dotazov. Jeho špecifické funkcie ako `povolenéfilters ()` Pomôžte bielym vstupom, pričom v dotazoch sa používajú iba bezpečné overené parametre, čím sa účinne zmierňujú riziká vstrekovania SQL [2].
Citácie:
[1] https://escape.tech/blog/laravel-sql-incance-guide/
Https://www.reddit.com/r/laravel/comments/bbxhoc/unsafe_sql_functions_be_aware_of_your/
[3] https://stitcher.io/blog/unsafe-sql-functions-in-laravel
[4] https://www.kiuwan.com/blog/top-5-best-practices-for-developers-on-preventing-sql-incpecons--atacks/
[5] https://www.baelgng.com/sql-injekcia
[6] https://stackoverflow.com/questions/60174/how-can-i-prevent-sql-incance-in-in-php
[7] https://stackoverflow.com/questions/1862036/how-d-i-i-protect--function-from-sql-injekciu
[8] https://cheatsheetseries.owasp.org/cheatsheets/sql_incance_prevention_cheat_sheet.html