SQL injection — kiritilgan ma'lumot orqali SQL so'rovini manipulyatsiya qilish. Klassik misol: username = ' OR 1=1 -- kiritilsa, barcha foydalanuvchilar ostida kirish mumkin. Muammo: ma'lumot va kod aralashuvi — kiritilgan matn doim kod sifatida talqin qilinadi.
Himoya: Prepared statements (Parameterized queries) — kod va ma'lumot ajratiladi: $stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");. ORM (Eloquent, Doctrine) odatda prepared statements ishlatadi. Input validation — faqat kutilgan format qabul qilinadi. Minimum imtiyoz — ma'lumotlar bazasi foydalanuvchisi faqat kerakli ruxsatlarga ega bo'lishi kerak. Web Application Firewall qo'shimcha himoya qatlami sifatida ishlaydi.
Bu mavzu bo'yicha kurslarimiz