Færibreyttar fyrirspurnir

e. parameterized queries

Einnig kallað: parameterized queries, parameterized query

Gagnagrunnsfyrirspurnir þar sem gildi frá notanda eru send sér, aðskilin frá SQL-textanum. Helsta vörnin gegn SQL-innspýtingu.

Færibreyttar fyrirspurnir eru gagnagrunnsfyrirspurnir þar sem SQL-textinn er skrifaður með táknum eins og $1 eða ? í stað gildanna, og gildin eru send sér. Gagnagrunnurinn meðhöndlar gildin alltaf sem gögn en aldrei sem hluta af skipuninni, svo inntak eins og ' OR 1=1 -- gerir engan skaða.

Andstæðan er að skeyta inntaki notanda beint inn í SQL-streng, sem opnar fyrir SQL-innspýtingu. Flest gagnagrunnssöfn nota færibreyttar fyrirspurnir sjálfkrafa, en þegar SQL er skrifað í höndunum eða af mállíkani þarf að athuga þetta sérstaklega.

Dæmi úr starfi

Forritari hjá sveitarfélagi fer yfir leitarfall sem erindreki skrifaði og sér að nafni íbúa er skeytt beint inn í SQL. Hann biður um færibreytta fyrirspurn og bætir við prófi með úrfellingarmerki í nafninu.

Tengd hugtök

Ekkert námsefni er tengt þessu hugtaki enn.

Öll hugtök