Vulnerabilitatea SQL Injection (SQLi) și Prevenirea în Securitate Cibernetică & Ethical Hacking

SQL Injection (SQLi) apare atunci când date furnizate de utilizator sunt concatenate direct într-o comandă SQL fără a fi tratate ca parametri literali. Atacatorii pot eluda autentificarea, citi sau distruge întreaga bază de date și, în anumite cazuri, pot executa comenzi la nivelul sistemului de operare (prin xp_cmdshell sau LOAD_FILE).

Mecanismul de apărare garantat

Singura metodă 100% eficientă de apărare este utilizarea interogărilor parametrizate (Prepared Statements) sau a ORM-urilor moderne (Prisma, TypeORM, Hibernate), unde motorul SQL compilează structura logică a interogării separat de datele transmise.

// ❌ VULNERABIL: Concatenare directă
const query = `SELECT * FROM users WHERE email = '${req.body.email}'`;

// ✅ SECURIZAT: Interogare parametrizată cu prepared statement
const querySecurizat = 'SELECT * FROM users WHERE email = $1';
const rezultat = await db.query(querySecurizat, [req.body.email]);