6

Según todo lo que he leído, las consultas preparadas existen para evitar los ataques conocidos como Inyección SQL, los cuales suponen un peligro gravísimo: desde modificar, borrar, manipular, revelar datos en la base de datos hasta entrar al mismo sistema de archivos en muchos casos.

Como ya se sabe, tanto PDO como mysqli tienen para ello un método llamado prepare() para escribir supuestamente consultas preparadas y un método execute() para ejecutar dichas consultas.

Pero una consulta como esta no es en realidad una consulta preparada:

$sql="SELECT laColumna FROM laTabla WHERE elCriterio=$unValor";

Si yo escribo algo así:

$bd->prepare($sql);
$bd->execute();

Y permito que $unValor sea proporcionado por el usuario, éste podría inyectarme código y yo podría estar pensando que estoy escribiendo una consulta preparada, cuando no es cierto.

Mi pregunta es:

¿Por qué tanto PDO como mysqli permiten preparar consultas que en realidad no son consultas preparadas? Lo lógico sería que el código falle.

¿Es una permisividad más de PHP y ya está? ¿Hay alguna forma de forzar a PDO y/o a mysqli para que admitan solamente consultas preparadas reales?

Supongo que esta anomalía es permitida por algo. He buscado en la documentación y no encuentro respuesta.

Pregunto esto porque veo que en la comunidad de programadores esto conduce a errores: por el simple hecho de usar prepare() se puede llegar a creer que el código es seguro, cuando no lo es en el caso expuesto.

2 respuestas 2

5

Partes de la premisa falsa de que el objetivo de una sentencia preparada es solamente securizar las consultas a la DB a través de las variables vinculadas, pero esto tan solo es una ventaja de usarlas. El objetivo real es poder ejecutar múltiples veces la misma sentencia de una manera altamente eficiente:

Las bases de datos MySQL soportan sentencias preparadas. Una sentencia preparada o una sentencia parametrizada se usa para ejecutar la misma sentencia repetidamente con gran eficiencia.

Ejemplo del OP

$sql="SELECT laColumna FROM laTabla WHERE elCriterio=$unValor";

$bd->prepare($sql);
$bd->execute();

En base a esto y a tu ejemplo proporcionado, trataré de responder a todas tus preguntas:

¿Por qué tanto PDO como mysqli permiten preparar consultas que en realidad no son consultas preparadas?

Sería lo lógico el impedirlo si, como dije anteriormente, el único objetivo de las sentencias preparadas fuese securizar las consultas. Pero yo puedo querer simplemente poder usar la misma consulta en un bucle de una manera optimizada. Por lo que el uso de tu ejemplo se sigue considerando una sentencia preparada, aunque no haga uso de variables vinculadas.

¿Es una permisividad más de PHP y ya está?

No, simplemente es ser flexible. Puedes elegir si deseas o no usar las variables vinculadas.

¿Hay alguna forma de forzar a PDO y/o a mysqli para que admitan solamente consultas preparadas reales?

No he encontrado nada al respecto, por lo que asumo que no existe ninguna manera. La sentencia que muestras en tu ejemplo es una "consulta preparada real" y es tan válida como una que use variables vinculadas.

Como conclusión, el uso de sentencias preparadas tiene un doble uso: la optimización de una consulta que se va a ejecutar múltiples veces y la securacización de la misma. Si preparamos la consulta a través de variables vinculadas para ejecutarla una sola vez, estaremos solamente aprovechándonos de la parte de la securización. Si hacemos al contrario y no usamos variables vinculadas pero si que ejecutamos la sentencia múltiples veces mediante execute(), nos estaremos aprovechando de la parte de optimización. Si usamos ambas nos estaremos aprovechando de todo lo que pueden ofrecernos la sentencias preparadas.

En la documentación oficial sobre ello pueden verse múltiples ejemplos de uso en diferente tipo de situaciones:

Sentencias preparadas

1
  • 1
    Gracias por tu excelente respuesta. Como dices, mi duda se debe a haber olvidado que una sentencia preparada busca no sólo la seguridad, sino también la optimización. Es algo que ya sabía (ver punto 1 de esta respuesta). Pero el hecho de ver en preguntas tantos prepare() en que se pasan datos externos directamente me parece que permitirlo puede ser motivo de confusión.
    – A. Cedano
    Commented el 28 sept. 2021 a las 14:02
2

No soy experto en el campo de inyecciones SQL y hace más de una década que no programo en PHP pero como creo que mi texto no cabe en un comentario, voy a intentar responder a tu pregunta.

Es interesante que le eches un vistazo a esta entrada de StackOverflow donde se menciona esta tira de abajo realizada por Randall Munroe que se aprovecha como excusa para explicar cómo funcionan las inyecciones SQL.

Bobby Tables

Permitidme traducirla dado que el idioma oficial de este sitio es el español.

Viñeta 1:

  • Hola, le llamo del colegio de su hijo. Estamos teniendo un problema con los ordenadores.

Viñeta 2:

  • No me diga - ¿Ha roto algo?
  • Más o menos.

Viñeta 3:

  • ¿De verdad su hijo se llama Robert'); DROP TABLE Estudiantes;--?
  • Oh, sí. Pequeño Bobby Tables, lo llamamos.

Viñeta 4:

  • Bien, hemos perdido los registros de este año de los estudiantes. Espero que esté contenta.
  • Y yo espero que hayan aprendido a sanear las entradas de su base de datos.

Lo que hace una Prepared Statement (Wikipedia EN) es precisamente evitar la situación descrita ya que al usarla y establecer el valor de $unValor no se hace una concatenación directa sino que $unValor se reemplaza por una cadena de caracteres donde se escapan los caracteres especiales, de forma que no pueda ejecutarse dicha cadena como una sentencia adicional espúrea.

Algo así es lo que resulta de emplear un Prepared Statement mezclando tu caso y el de Bobby

SELECT laColumna FROM laTabla WHERE elCriterio='Robert\'); DROP TABLE Estudiantes;--\'';

Como puedes ver el propio intérprete de código de StackOverflow te indica que todo lo que aparece después del = es una cadena y no dos consultas.

Evitamos la inyección SQL ya que con el Prepared Statement evitamos que se ejecute esto

SELECT laColumna FROM laTabla WHERE elCriterio='Robert'; DROP TABLE Estudiantes;

(He quitado el paréntesis después de Robert de la tira para conseguir que la primera consulta fuera sintácticamente correcta)

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.