SQL injection म्हणजे काय आणि तुम्ही यापासून कसे बचाव करता?

Question

Accepted Answer

**SQL injection** एक असुरक्षितता आहे जिथे हल्लाबोर वापरकर्त्याच्या इनपुटद्वारे दुर्भावनापूर्ण SQL प्रविष्ट करतात — डेटाबेस क्वेरीज हाताळून डेटा चोरी करतात, प्रमाणीकरण बायपास करतात, किंवा डेटा नुकसान पहोचवतात. हे सर्वात धोकादायक आणि क्लासिक वेब असुरक्षितांपैकी एक आहे, परंतु योग्य तंत्रांसह प्रतिबंधनीय आहे.

## SQL injection कसे कार्य करते

```text
When user input is concatenated directly into a SQL query, an attacker can INJECT SQL:
```

```js
// ❌ VULNERABLE — user input concatenated into the query
const query = `SELECT * FROM users WHERE email = '${userInput}'`;
// attacker enters:  ' OR '1'='1
// → SELECT * FROM users WHERE email = '' OR '1'='1'   → returns ALL users!
// or:  '; DROP TABLE users; --   → could delete the table
```

हल्लाबोरचा इनपुट डेटाऐवजी **SQL कोड** मानला जातो — त्यांना क्वेरी पुनर्लेखन करायला देतो (लॉगिन बायपास करा, सर्व डेटा डम्प करा, टेबल हटवा).

## प्रतिबंध: पॅरामीटरायজड क्वेरीज (मुख्य सुधार)

```js
// ✅ PARAMETERIZED / PREPARED statements — input is treated as DATA, never as code
const query = 'SELECT * FROM users WHERE email = ?';
db.execute(query, [userInput]);     // the value is safely bound, not concatenated
// → the database treats userInput as a literal value → injection impossible
```

**पॅरामीटरायजड क्वेरीज (तयारीशुदा विधाने)** SQL कोड डेटापासून वेगळे करतात — इनपुट कधीही SQL म्हणून व्याख्यायित केली जाऊ शकत नाही. हा प्राथमिक, विश्वसनीय बचाव आहे.

## अतिरिक्त बचाव

```text
✓ PARAMETERIZED queries / prepared statements → the #1 fix (always use them)
✓ ORMs/query builders → use parameterization under the hood (but don't bypass with raw
  string concatenation)
✓ INPUT VALIDATION (defense in depth) — validate/sanitize, but NOT a substitute for
  parameterization
✓ LEAST PRIVILEGE DB accounts (limit damage); avoid exposing detailed DB errors
→ NEVER build queries by concatenating user input.
```

## हे का महत्त्वाचे आहे

SQL injection समजून घेणे आणि यापासून कसे बचाव करायचे हे आवश्यक आहे कारण हे **सर्वात धोकादायक, क्लासिक, आणि सामान्य वेब असुरक्षितांपैकी एक आहे** (OWASP injection श्रेणीचा भाग), तरीही पूर्णपणे प्रतिबंधनीय आहे, म्हणून डेटाबेस सहित काम करणार्‍या कोणत्याही विकासकर्तासाठी हे अवश्य ज्ञेय सुरक्षा ज्ञान आहे.

**हे कसे कार्य करते** समजून घेणे — की वापरकर्त्याचा इनपुट थेट SQL क्वेरीमध्ये एकत्रित करणे हल्लाबोरला **SQL कोड इंजेक्ट करायला** देते (त्यांचा इनपुट डेटाऐवजी कोड मानला जातो), त्यांना प्रमाणीकरण बायपास करायला (`' OR '1'='1`), सर्व डेटा डम्प करायला, किंवा अगदी टेबल हटवायला (`'; DROP TABLE`) सक्षम करते — हे असुरक्षितता ओळखण्यासाठी आणि टाळण्यासाठी आवश्यक आहे.

SQL injection विनाशकारी असू शकते (संपूर्ण डेटा साचपत, डेटा नाश, प्रमाणीकरण बायपास), ज्यामुळे हे गंभीरपणे महत्त्वाचे आहे.

**प्रतिबंध** समजून घेणे आवश्यक आहे: **पॅरामीटरायजड क्वेरीज (तयारीशुदा विधाने)** हा प्राथमिक, विश्वसनीय सुधार आहे — ते **SQL कोड डेटापासून वेगळे करतात** म्हणून वापरकर्त्याचा इनपुट एक अक्षरशः मूल्य म्हणून हाताळला जातो जे कधीही SQL म्हणून व्याख्यायित केली जाऊ शकत नाही, जे इंजेक्शन अशक्य करते.

ही प्रत्येक विकासकर्त्याने वापरायला हवी असलेली #1 संरक्षा आहे.

**अतिरिक्त बचावांची** समजून घेणे — ORMs/क्वेरी बिल्डर्स वापरणे (जे पॅरामीटरायজ करतात, परंतु कच्च्या एकत्रितकरणे बायपास करत नाहीत), इनपुट सत्यापन बचाव-खोलीच्या रूपात (परंतु पॅरामीटराइজेशनचे पर्याय नाहीत), न्यूनतम-विशेषाधिकार डेटाबेस खाती, आणि तपशीलवार त्रुटी एक्सपोजर टाळणे — आणि **कधीही वापरकर्त्याचा इनपुट क्वेरीमध्ये एकत्रित करू नका** या मुख्य नियमाचे अनुसरण व्यापक प्रतिबंध प्रतिबिंबित करते.

कारण SQL injection एक धोकादायक, सामान्य, आणि क्लासिक असुरक्षितता आहे ज्याचे गंभीर परिणाम आहेत (डेटा साचपत, डेटा नाश, प्रमाणीकरण बायपास) जे पूर्णपणे प्रतिबंधनीय आहे पॅरामीटरायजड क्वेरीच्या साथ, आणि हे कसे कार्य करते आणि यापासून कसे बचाव करायचे हे समजून घेणे डेटाबेस सहित काम करणार्‍या कोणत्याही विकासकर्तासाठी आवश्यक आहे, SQL injection आणि त्याचा प्रतिबंध समजून घेणे आवश्यक, अवश्य-ज्ञेय सुरक्षा ज्ञान आहे — एक मूलभूत असुरक्षितता समजून घेण्यासाठी आणि त्याच्या विरुद्ध संरक्षण करण्यासाठी, जिथे सोपा, विश्वसनीय सुधार (पॅरामीटरायजड क्वेरीज) महत्वाचे ज्ञान आहे जे सर्वात नुकसानकारक हल्लांपैकी एक वर्ग प्रतिबंधित करते.