1

Hola como estan? Estoy trabajando con el framework CodeIgniter y me gustaria evitar SQL injection. Por ejemplo tengo los siguientes scripts:

public function login($username,$password){
  #si nos devuelve una fila es por que existe el usuario
  $this->db->where('email',$username);
  $this->db->where('password',$password);

  $q = $this->db->get('usuario');
  return ($q->num_rows()>0) ? true : false;
  }

Y otro como:

public function getDatosUsuario()
  {
    if(!isset($_SESSION))
      session_start();

    $this->db->select('nombre,apellido,usuario.dni,usuario.sexo,nacimiento,usuario.Idlocalidad,nombreLocalidad,direccion,celular,email,nombreCarrera,institucion,localidad,cantanio,planestudio,nombref,apellidof,vinculo,ocupacion');
    $this->db->from('usuario');
    $this->db->join("localidad", "localidad.idLocalidad = usuario.Idlocalidad");
    $this->db->join("beca", "beca.dni_beca = usuario.dni");
    $this->db->join("grupo_familiar", "grupo_familiar.dni_becario = usuario.dni");
    $this->db->where(
      array(
        'email' => $_SESSION['username'],
      )
    );

    $query = $this->db->get();

    return $query->row();

  }

Como puedo aplicar seguiridad en èstas consultas???? Ya que no encuentro mucha información al respecto. Se agradece de antemano.

1
  • El hecho de trabajar con un framework garantiza protección contra ataques de inyección de sql
    – Japv
    Commented el 12 jun. 2021 a las 6:20

2 respuestas 2

2

Creo que para responder a tu pregunta conviene hacer la diferencia entre las consultas en sí mismas que se construyen directamente y las consultas que se escriben usando la Clase Query Builder (antes Active Record).

A. La Clase Query Builder

CodeIgniter le da acceso a una clase de Generador de consultas. Este patrón permite recuperar, insertar y actualizar información en su base de datos con un mínimo de secuencias de comandos. En algunos casos, solo se necesitan una o dos líneas de código para realizar una acción de base de datos. CodeIgniter no requiere que cada tabla de base de datos sea su propio archivo de clase. En cambio, proporciona una interfaz más simplificada.

Más allá de la simplicidad, un beneficio importante de utilizar las funciones del Generador de consultas es que le permite crear aplicaciones independientes de la base de datos, ya que la sintaxis de la consulta la genera cada adaptador de base de datos. También permite consultas más seguras, ya que el sistema escapa automáticamente de los valores.

Como bien se indica al final, las consultas que se escriben con Query Builder (como es tu caso), son seguras porque la clase se ocupa de escapar los datos.

B. Las consultas directas

Para las consultas directas, Codeigniter tiene tres formas de blindar el código contra inyección SQL, como viene explicado claramente en la documentación: Escaping Queries, Query Bindings y Named Bindings.

1. Escaping Queries (Escapando Consultas)

Es una muy buena práctica de seguridad escapar de sus datos antes de enviarlos a su base de datos. CodeIgniter tiene tres métodos que le ayudan a hacer esto:

  1. $db->escape() Esta función determina el tipo de datos para que solo pueda escapar de los datos de cadena. También agrega automáticamente comillas simples alrededor de los datos para que no tenga que hacer esto:

     $sql = "INSERT INTO table (title) VALUES (". $ db->escape($ title). ")";
    
  2. $db->escapeString() Esta función escapa de los datos que se le pasan, independientemente del tipo. La mayoría de las veces utilizará la función anterior en lugar de esta. Utilice la función de esta manera:

     $sql = "INSERT INTO table (title) VALUES ('". $ db->escapeString ($ title). "')";
    
  3. $db->escapeLikeString() Este método debe usarse cuando las cadenas se van a utilizar en condiciones LIKE para que los comodines LIKE ("%", "_") en la cadena también se escapen correctamente.

     $search = '20% raise';
     $sql = "SELECT id FROM table WHERE column LIKE '%" .
     $db->escapeLikeString($search) . "%' ESCAPE '!'";
    

2. Query Bindings (Enlaces de consulta)

Los enlaces le permiten simplificar la sintaxis de su consulta al permitir que el sistema organice las consultas por usted. Considere el siguiente ejemplo:

$sql = "SELECT * FROM some_table WHERE id = ? AND status = ? AND author = ?";
$db->query($sql, [3, 'live', 'Rick']);

Los signos de interrogación en la consulta se reemplazan automáticamente con los valores de la matriz en el segundo parámetro de la función de consulta.

El enlace también funciona con matrices, que se transformarán en conjuntos IN:

$sql = "SELECT * FROM some_table WHERE id IN ? AND status = ? AND author = ?";
$db->query($sql, [[3, 6], 'live', 'Rick']);

La consulta resultante será:

SELECT * FROM some_table WHERE id IN (3,6) AND status = 'live' AND author = 'Rick'

El beneficio secundario de usar enlaces es que los valores se escapan automáticamente y producen consultas más seguras. No es necesario que recuerde escapar manualmente los datos: el motor lo hace automáticamente por usted.


3. Named Bindings (Enlaces con nombre)

En lugar de usar el signo de interrogación para marcar la ubicación de los valores enlazados, puede nombrar los enlaces, permitiendo que las claves de los valores pasados coincidan con los marcadores de posición en la consulta:

$sql = "SELECT * FROM some_table WHERE id = :id: AND status = :status: AND author = :name:";
$db->query($sql, [
    'id'     => 3,
    'status' => 'live',
    'name'   => 'Rick'
]);

Nota: Cada nombre de la consulta DEBE estar rodeado de dos puntos.

1

En tus consultas estás usando el Query Builder Class que facilita Codeigniter, y este escapa los valores, por lo que te protege de la inyección.

Si lanzaras directamente la querie de esta manera, si que sería susceptible a la inyección SQL:

$query = $this->db->query("SELECT * FROM usuario WHERE email = '" . $email . "' AND password = '" . $password . "'");

Esto sería el equivalente a lanzar una consulta a la DB directamente, sin sentencias preparadas y por lo tanto, muy inseguro.

1
  • Gracias! Otra pregunta breve, se puede optimizar mas mi Query??????
    – gisela
    Commented el 12 jun. 2021 a las 17:22

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.