Flashcard FC518875
Por que a concatenação direta de parâmetros em consultas SQL é perigosa e como mitigar?
Frameworks de Segurança da Informação e Segurança Cibernética
CEBRASPE (CESPE) · 2025
Por que a concatenação direta de parâmetros em consultas SQL é perigosa e como mitigar?
Mostrar resposta e comentário
Resposta
A concatenação direta permite SQL Injection ao fechar a literal de string e introduzir comentário, alterando a consulta e permitindo bypass de autenticação ou exposição de dados.• Injection: vulnerabilidade que permite modificar a estrutura da consulta por entrada maliciosa e obter acesso ou dados indevidos.
• Consultas parametrizadas: usar prepared statements como mysqli_prepare ou PDO com bind impede que entradas alterem a estrutura da consulta.
• Validação de entradas: validar e normalizar entradas e, se necessário, escapar com mysqli_real_escape_string reduz o risco de injeção.
• Menor privilégio: aplicar o princípio do menor privilégio ao usuário do banco de dados limita o impacto de uma exploração.
Veja como foi cobrado:
https://flashcardsconcursos.com.br/portal/flashcard/515072
Conteúdo do catálogo FC Concursos · Atualizado em