flawopen.com/SQL Injection/Qu'est-ce qu'une requête paramétrée ?

Qu'est-ce qu'une requête paramétrée, en termes simples ?

Le mécanisme

Avec une requête préparée nativement côté serveur, le pilote prépare le SQL contenant les marqueurs et fournit les valeurs liées lors de l’exécution. Le protocole et le moment varient selon la base et le pilote. Certains pilotes peuvent émuler la préparation côté client ; PDO documente explicitement ce mode. L’appel d’API ne suffit donc pas à déterminer comment la valeur est transmise. Gardez la structure SQL fixe, utilisez l’API de liaison documentée par le pilote et vérifiez si le mode natif ou émulé est actif.

Pourquoi c'est différent de simplement « échapper avec soin »

L’échappement manuel demande au code de l’application d’encoder correctement les valeurs avant leur concaténation ; cette approche est fragile et dépend du contexte. Une API de paramètres délègue le traitement des valeurs au pilote. Avec une préparation native côté serveur, les valeurs passent par des paramètres distincts dans le protocole ; avec l’émulation, le pilote traite les marqueurs côté client. N’intégrez pas les entrées utilisateur dans des chaînes SQL construites par l’application et vérifiez le comportement de liaison documenté par le pilote.

FAQ

Références

• OWASP — Aide-mémoire de prévention des injections SQL
• flawopen.com — Injection SQL (tous les langages)
• PHP Manual — PDO::ATTR_EMULATE_PREPARES
• MySQL Reference — COM_STMT_PREPARE
• MySQL Reference — COM_STMT_EXECUTE