SQL Injection

SQL 삽입은 응용프로그램의 입력 필드를 통해 SQL 쿼리를 조작, DB에 비정상적인 엑세스를 수행하거나 정보를 탈취하는 취약점으로 입력값을 SQL 쿼리에 직접 삽입하지 않고, PreparedStatement 또는 ORM을 사용해 안전히 처리 한다.

 

 

가령 다음과 같이 로그인처리 하는 소스가 있다고 가정하면

public boolean unsafeLogin(String id, String password) {    
    String sql = "SELECT * FROM users WHERE id = '" + id +
            "' AND password = '" + password + "'";

    ... // 쿼리 실행
}

 

 

유효한 id' --

 

같은 입력만 넣어줘도 password 체크하는 where절은 주석처리 되어 그냥 로그인 처리될것이다.

 

대책은 JPA ORM을 사용해 안전한 처리가 가능하다.

즉, SQL을 직접 작성하지 않고 레이어를 따라 객체중심으로 데이터 처리함으로 SQL Injection을 방지한다. (자동으로 파라미터 바인딩)

public boolean safeLogin(String username, String password) {
    return userRepository.findByUsernameAndPassword(username, password).isPresent();
}