Tại sao việc sử dụng Prepared Statements lại là tiêu chuẩn vàng để ngăn chặn lỗ hổng SQL Injection thay vì chỉ dựa vào việc lọc chuỗi ký tự?

Question

Accepted Answer

Bản chất lỗ hổng SQL Injection
SQL Injection (SQLi) xảy ra khi ứng dụng web nhận dữ liệu đầu vào từ người dùng và trực tiếp nối (concatenation) vào câu lệnh truy vấn SQL mà không qua kiểm tra hoặc xử lý biên dịch đúng đắn. Kẻ tấn công có thể thao túng cấu trúc câu lệnh SQL để truy xuất, chỉnh sửa hoặc xóa toàn bộ cơ sở dữ liệu.
Tại sao việc lọc chuỗi (Sanitization/Escaping) là không đủ?
Việc cố gắng viết các hàm regex để loại bỏ các ký tự nhạy cảm như dấu nháy đơn ('), dấu chấm phẩy (;) thường rất dễ bỏ sót (bypass). Kẻ tấn công có thể sử dụng mã hóa Unicode, Hex hoặc các ký tự đặc biệt khác để qua mặt bộ lọc thủ công.
Cơ chế hoạt động của Prepared Statements
Prepared Statements (hay parameterized queries) tách biệt hoàn toàn giữa cấu trúc câu lệnh SQL và dữ liệu đầu vào.

Server cơ sở dữ liệu nhận bản thiết kế câu lệnh SQL trước và biên dịch cú pháp của nó.
Dữ liệu đầu vào từ người dùng được gửi riêng biệt và chỉ được coi là giá trị thuần túy (literal values), tuyệt đối không được phân tích như một phần của câu lệnh thực thi.

Ví dụ minh họa (Node.js với thư viện cơ sở dữ liệu)
Cách làm sai (Dễ bị SQL Injection):
// Nguy hiểm: Nối chuỗi trực tiếp
const query = `SELECT * FROM users WHERE username = '${userInput}'`;
db.query(query);
Cách làm đúng (Sử dụng Prepared Statements):
// An toàn tuyệt đối: Dùng tham số hóa (? hoặc $1, $2)
const query = 'SELECT * FROM users WHERE username = ?';
db.query(query, [userInput], (err, results) => {
  // Xử lý kết quả
});
Lưu ý cho Junior
Luôn luôn sử dụng Prepared Statements hoặc các ORM tiêu chuẩn (như Hibernate, Prisma, Sequelize) vì các công cụ này tự động áp dụng cơ chế parameterized queries ngầm định bên dưới.

Tại sao việc sử dụng Prepared Statements lại là tiêu chuẩn vàng để ngăn chặn lỗ hổng SQL Injection thay vì chỉ dựa vào việc lọc chuỗi ký tự?

Bản chất lỗ hổng SQL Injection

Làm Chủ Phỏng Vấn & Nâng Cao Trình Độ Chuyên Nghiệp

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi web security liên quan cùng chủ đề