Sử dụng Prepared Statements trong PDO để chống SQL Injection

BởiChu Minh Nam5 phút đọc613 lượt xem

Chia sẻ

Trong phát triển web với PHP, SQL Injection là một trong những lỗ hổng bảo mật phổ biến và nguy hiểm nhất. Hacker có thể chèn các đoạn lệnh SQL độc hại vào input của người dùng để lấy cắp dữ liệu, xóa bảng, hoặc chiếm quyền quản trị hệ thống. Để phòng chống, giải pháp hiệu quả nhất chính là Prepared Statements trong PDO (PHP Data Objects).

Nếu trước đây bạn đã tìm hiểu cách kết nối MySQL bằng PDO trong PHP và triển khai CRUD PHP thuần, thì việc nắm vững kỹ thuật prepared statements sẽ giúp ứng dụng của bạn an toàn hơn. Trong bài viết này, chúng ta sẽ tìm hiểu chi tiết cách hoạt động, cách triển khai và lý do tại sao prepared statements lại chống được SQL Injection.

SQL Injection là gì và nguy hiểm như thế nào?

SQL Injection xảy ra khi ứng dụng chèn trực tiếp dữ liệu đầu vào của người dùng vào câu truy vấn SQL mà không xử lý an toàn. Điều này cho phép kẻ tấn công thay đổi cấu trúc câu lệnh SQL.

Ví dụ, một đoạn code nguy hiểm:

<?php
$user = $_POST['username'];
$pass = $_POST['password'];

$sql = "SELECT * FROM users WHERE username = '$user' AND password = '$pass'";
$stmt = $pdo->query($sql);

Nếu hacker nhập admin' OR '1'='1 vào username, câu SQL sẽ trở thành:

SELECT * FROM users WHERE username = 'admin' OR '1'='1' AND password = ''

Kết quả: hacker có thể đăng nhập mà không cần mật khẩu. Đây chính là SQL Injection.

Nguyên lý của Prepared Statements

Trước khi viết code, cần hiểu rằng prepared statement hoạt động theo 2 bước:

Chuẩn bị câu lệnh SQL: Trong câu SQL sẽ có placeholder (? hoặc :name) thay cho dữ liệu người dùng.
Bind dữ liệu và thực thi: PDO sẽ tự động xử lý dữ liệu nhập vào, escape ký tự đặc biệt, và gắn vào placeholder.

Nhờ vậy, dữ liệu người dùng chỉ được coi là giá trị, không bao giờ bị coi là một phần của câu lệnh SQL, từ đó ngăn chặn SQL Injection.

Ví dụ sử dụng Prepared Statements với Placeholder `?`

Trước khi viết code, hãy lưu ý rằng kiểu placeholder ? (anonymous) phù hợp với câu SQL có ít tham số. Bạn cần bind dữ liệu theo đúng thứ tự của dấu ?.

Ví dụ dưới đây là đoạn code an toàn cho đăng nhập người dùng:

<?php
session_start();
require 'db.php';

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $user = $_POST['username'];
    $pass = $_POST['password'];

    $stmt = $pdo->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
    $stmt->execute([$user, $pass]);
    $row = $stmt->fetch();

    if ($row) {
        echo "Đăng nhập thành công";
    } else {
        echo "Sai thông tin đăng nhập";
    }
}

Ví dụ sử dụng Prepared Statements với Named Placeholder

Trước khi viết code, cần biết rằng named placeholder (:username, :password) giúp câu SQL dễ đọc và dễ bảo trì hơn, đặc biệt khi có nhiều tham số. Named placeholder cũng giảm rủi ro gắn sai thứ tự.

Ví dụ:

<?php
$user = $_POST['username'];
$pass = $_POST['password'];

$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :user AND password = :pass");
$stmt->execute([
    'user' => $user,
    'pass' => $pass
]);

$row = $stmt->fetch();
if ($row) {
    echo "Đăng nhập thành công";
} else {
    echo "Sai thông tin đăng nhập";
}

Sử dụng `bindParam` và `bindValue`

Trước khi viết code, bạn cần phân biệt:

bindParam(): liên kết biến với placeholder, giá trị chỉ được đọc khi thực thi.
bindValue(): liên kết trực tiếp giá trị với placeholder ngay lập tức.

Điều này quan trọng khi biến có thể thay đổi trước khi thực thi.

Ví dụ với bindParam:

<?php
$stmt = $pdo->prepare("INSERT INTO logs (message, level) VALUES (:msg, :lvl)");
$message = "User login success";
$level = "INFO";

$stmt->bindParam(':msg', $message);
$stmt->bindParam(':lvl', $level);
$stmt->execute();

Nếu bạn đổi giá trị $message trước khi execute(), PDO sẽ lấy giá trị mới nhất.

So sánh Prepared Statements và Query trực tiếp

Trước khi viết code, bạn cần nắm sự khác biệt:

Query trực tiếp: dễ viết nhưng cực kỳ nguy hiểm khi có input từ người dùng.
Prepared Statements: an toàn, hiệu năng cao hơn khi thực thi nhiều lần với dữ liệu khác nhau.

Ví dụ batch insert với prepared statement:

<?php
$stmt = $pdo->prepare("INSERT INTO orders (user_id, amount) VALUES (?, ?)");
$data = [
    [1, 200],
    [2, 150],
    [3, 300]
];

foreach ($data as $row) {
    $stmt->execute($row);
}

Một số lưu ý khi sử dụng Prepared Statements

Luôn dùng prepared statements khi có input từ người dùng.
Đừng concatenate string trực tiếp vào SQL.
Kiểm tra kiểu dữ liệu, nhất là với LIMIT/OFFSET – chỉ bind số nguyên đã validate.
Với câu SQL phức tạp, named placeholder sẽ dễ bảo trì hơn.
Kết hợp với các biện pháp khác: validate input, phân quyền database, và log hoạt động.

Kết luận

Prepared Statements trong PDO là công cụ mạnh mẽ để chống SQL Injection trong PHP. Bằng cách tách biệt cấu trúc câu lệnh và dữ liệu, PDO đảm bảo rằng dữ liệu người dùng chỉ được coi là giá trị, không thể thay đổi logic SQL.

Khi phát triển ứng dụng, bạn nên mặc định sử dụng prepared statements cho mọi thao tác CRUD. Kết hợp với các kỹ thuật đã học từ các bài trước như quản lý session và cookie, bạn sẽ xây dựng được hệ thống PHP an toàn, ổn định và đáng tin cậy hơn.