SQL Injection (SQLi) Açığı Nedir? Veritabanınızı Nasıl Korursunuz?

SQL Injection (SQLi) Nedir?

Saldırganların, bir web sitesindeki arama veya giriş kutularına özel SQL kodları yazarak, arka plandaki veritabanına (MySQL, PostgreSQL vb.) doğrudan hükmetmesini sağlayan kritik bir zafiyettir.

Saldırı Nasıl Gerçekleşir?

Eğer kodunuz kullanıcıdan gelen veriyi temizlemeden doğrudan SQL sorgusuna katıyorsa (Örn: SELECT * FROM users WHERE username = '$user'), saldırgan ' OR 1=1 -- yazarak şifre bilmeden admin olarak giriş yapabilir veya tüm kullanıcı veritabanını indirebilir.

Kesin Korunma Yöntemleri

• Prepared Statements (Parametrik Sorgular): PDO veya benzeri kütüphaneler kullanarak, kullanıcıdan gelen veriyi "kod" olarak değil, sadece "metin" olarak algılanmasını sağlayın. Bu yöntem SQLi'yi %99 engeller.
• ORM Kullanımı: Prisma, TypeORM, Entity Framework gibi ORM araçları arka planda koruma sağlar.
• Web Application Firewall (WAF): Cloudflare veya xThreat Edge kullanarak gelen HTTP isteklerindeki şüpheli SQL komutlarını sunucuya ulaşmadan bloklayın.