Как защитить PHP приложение от SQL-инъекций?

Защита PHP-приложения от SQL-инъекций

SQL-инъекция — это одна из наиболее критичных уязвимостей веб-приложений, позволяющая злоумышленнику выполнять произвольные SQL-запросы к базе данных. За десятилетия работы с PHP я выработал многоуровневый подход к защите, который включает технологические, архитектурные и процедурные меры.

Основные методы защиты

Использование подготовленных выражений (Prepared Statements)

Это самый эффективный и рекомендуемый подход. Вместо конкатенации строк запроса, вы используете параметризованные запросы, где данные передаются отдельно от инструкций SQL.

// PDO пример
$pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
$stmt = $pdo->prepare('SELECT * FROM users WHERE email = :email AND status = :status');
$stmt->execute(['email' => $email, 'status' => $status]);
$results = $stmt->fetchAll();

// MySQLi пример
$mysqli = new mysqli('localhost', 'user', 'pass', 'test');
$stmt = $mysqli->prepare('SELECT * FROM products WHERE price > ? AND category = ?');
$stmt->bind_param('ds', $minPrice, $category);
$stmt->execute();

Принцип разделения: база данных получает шаблон запроса и данные отдельно, что исключает интерпретацию пользовательского ввода как команд SQL.

Дополнительные защитные меры

Валидация и санация входных данных

• Типизация данных: преобразуйте входные данные к ожидаемому типу (int)$id, (float)$price
• Валидация по белому списку: разрешайте только ожидаемые значения
• Использование фильтров PHP: filter_var($email, FILTER_VALIDATE_EMAIL)

Экранирование специальных символов Хотя это менее надежно, чем подготовленные выражения, в некоторых ситуациях может применяться:

// Для MySQLi при невозможности использовать подготовленные выражения
$safeInput = $mysqli->real_escape_string($userInput);
// Внимание: этот метод уязвим при неправильной кодировке соединения

Минимальные привилегии базы данных

• Создавайте отдельных пользователей БД для приложения с ограниченными правами
• Запрещайте операции DROP, ALTER, GRANT для пользователя приложения
• Используйте только необходимые привилегии: SELECT, INSERT, UPDATE для конкретных таблиц

Архитектурные подходы

Слои абстракции данных

• Используйте ORM (Doctrine, Eloquent) или Query Builder
• Эти инструменты автоматически экранируют параметры, снижая человеческий фактор

// Пример с Query Builder (Laravel/Eloquent)
$users = User::where('email', $email)
             ->where('status', $status)
             ->get();

Хранимые процедуры Хотя они не являются панацеей, могут помочь изолировать логику:

CREATE PROCEDURE GetUserByEmail(IN userEmail VARCHAR(255))
BEGIN
    SELECT * FROM users WHERE email = userEmail;
END

Процедурные меры безопасности

Регулярное тестирование

• Статический анализ кода (SAST) с помощью PHPStan, Psalm
• Динамическое тестирование (DAST) с использованием сканеров уязвимостей
• Ручной пентест критических функций

Ведение журналов и мониторинг

• Логируйте все SQL-запросы в разработке
• Настройте оповещения о подозрительных запросах (многочисленные UNION, комментарии SQL)
• Используйте Web Application Firewall (WAF)

Обновления и обучение

• Регулярно обновляйте PHP и библиотеки работы с БД
• Проводите code review с фокусом на безопасность
• Обучайте разработчиков принципам безопасного кодирования

Полная защита: практический пример

class SecureUserRepository {
    private $pdo;
    
    public function __construct(PDO $pdo) {
        $this->pdo = $pdo;
        $this->pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
        $this->pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    }
    
    public function findUserByCredentials(string $email, string $password): ?array {
        // Валидация входа
        if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
            throw new InvalidArgumentException('Invalid email format');
        }
        
        // Подготовленный запрос с именованными параметрами
        $stmt = $this->pdo->prepare(
            'SELECT id, email, password_hash FROM users 
             WHERE email = :email AND active = 1 LIMIT 1'
        );
        
        // Выполнение с передачей параметров
        $stmt->execute(['email' => $email]);
        
        $user = $stmt->fetch();
        
        if ($user && password_verify($password, $user['password_hash'])) {
            unset($user['password_hash']);
            return $user;
        }
        
        return null;
    }
}

Ключевые выводы:

1. Всегда используйте подготовленные выражения — это основа защиты
2. Защищайтесь на нескольких уровнях — не полагайтесь на единственный метод
3. Принцип минимальных привилегий — ограничивайте доступ на всех уровнях
4. Автоматизируйте безопасность — используйте современные фреймворки и инструменты
5. Постоянно обучайтесь — угрозы эволюционируют, методы защиты тоже должны развиваться

За 10+ лет я убедился: защита от SQL-инъекций — это не единовременное действие, а комплексный процесс, охватывающий архитектуру, разработку, тестирование и эксплуатацию приложения. Начинайте с подготовленных выражений, но не останавливайтесь на этом — глубина защиты определяет устойчивость вашего приложения к атакам.