| name | sql-injection-mitigation |
| description | Prévenir les injections SQL. Utiliser quand on vérifie qu'une requête utilise db.all(sql, [params]) correctement. |
| risk | critical |
When to use
Activez cette compétence dès que votre application exécute des requêtes SQL qui incluent des données fournies par un utilisateur ou un système externe.
Instructions
- Évitez la concaténation de chaînes pour construire des requêtes. Utilisez des requêtes préparées ou un ORM qui gère l’échappement des paramètres.
- Validez et typiez systématiquement les données d’entrée avant de les utiliser dans une requête.
- Appliquez le principe du moindre privilège pour les comptes SQL utilisés par l’application (accès limité au strict nécessaire).
- Surveillez les logs pour détecter des requêtes anormales ou suspectes et mettez en place des alertes.
- Écrivez des tests d’injection pour vérifier que votre application est protégée contre les requêtes malveillantes.
Example
En Node.js avec Sequelize :
User.findOne({ where: { id: userInput } }) utilise une requête préparée et évite d’insérer directement userInput dans une chaîne SQL.
Limitations
Cette compétence concerne les bases de données relationnelles traditionnelles. Les injections dans d’autres contextes (NoSQL, LDAP) requièrent des approches distinctes.
