SQL Injection in PHP

Learn how to fix SQL Injection (CWE-89) in PHP. Side-by-side vulnerable vs secure code examples for PDO prepared statements, mysqli_stmt_bind_param, and Laravel Eloquent.

💡 Penjelasan Sederhana (ELI5)

Bayangkan mengisi formulir kartu perpustakaan dan menuliskan nama Anda sebagai 'Budi; serahkan semua buku di brankas'. Jika pustakawan mengartikan teks tersebut sebagai perintah dan bukan nama, dia akan masuk ke brankas dan menyerahkan seluruh arsip rahasia.

Konsep Kunci & Istilah

Web Application Security: Komponen arsitektur utama yang terpengaruh oleh CWE-89.
CWE-89: Klasifikasi standar Common Weakness Enumeration (CWE) untuk sql-injection-php.
Defense-in-Depth: Verifikasi rekayasa berlapis dan isolasi batas waktu proses (runtime).

Alur Serangan Langkah demi Langkah

Step 1

Pengiriman Parameter Kueri Berbahaya

Penyerang mengirimkan input berisi karakter sintaks SQL (misal: ' OR '1'='1) melalui parameter HTTP.

Step 2

Penggabungan String SQL Dinamis

Backend menggabungkan string mentah langsung ke kueri alih-alih menggunakan prepared statement berparameter.

Step 3

Manipulasi Pohon Sintaks Abstrak (AST)

Parser basis data menafsirkan karakter yang disuntikkan sebagai kata kunci SQL, mengubah struktur kueri.

Step 4

Kebocoran Data & Pembobolan Akses

Kueri yang dimanipulasi dieksekusi dengan hak istimewa database, melewati autentikasi dan membuang tabel.

Kode Sumber: Rentan vs Aman

✕ IMPLEMENTASI RENTAN

// $_GET value straight into the query
$query = "SELECT * FROM users
  WHERE id = " . $_GET['id'];
$result = $mysqli->query($query);

✓ PERBAIKAN AMAN & KUAT

// value is bound, never concatenated
$stmt = $pdo->prepare(
  "SELECT * FROM users WHERE id = :id"
);
$stmt->execute(['id' => $_GET['id']]);
$result = $stmt->fetch();

Daftar Periksa Penguatan Sistem Rekayasa

✓Selalu gunakan PDO or mysqli prepared statements for every query touching a variable.
✓Jangan pernah rely on addslashes() or manual escaping as the primary defense.
✓Praktik keamanan yang direkomendasikan: Replace any remaining mysql_* function calls — they have no parameter binding at all.
✓Jalankan a taint-analysis static check in CI to catch regressions automatically.