Làm sao để chạy raw queries an toàn trong Laravel

Tram Ho

Đôi khi, có thể có một số yêu cầu cần phải chạy các raw queries trong Laravel. Trong bài viết này, bạn sẽ tìm hiểu cách chạy các raw queries trong Laravel và cách ngăn chặn SQL injection với nó.

Prerequisites

  • Làm việc ứng dụng Laravel và nhiệt tình học hỏi 😃
  • Ở đây tôi sẽ giới thiệu các ví dụ đơn giản phải cung cấp cho bạn thông tin chi tiết về cách chạy các truy vấn phức tạp

Running RAW Queries Syntax

Để chạy raw queries bạn sử dụng phương thức DB::select() với cú pháp như sau:

Problem (SQL Injection)

Bạn phải chạy các raw queries như sau.

Ví dụ: Tôi muốn lấy các posts mà có authorpublished_onlớn hơn một số ngày

Không có gì sai trong query trên. Mọi thứ đều hoạt động tốt.

Còn vấn đề bảo mật thì sao? Bảo mật đóng một vai trò quan trọng trong ứng dụng của bạn, ngay cả khi bạn chạy ứng dụng cho mục đích nội bộ, có thể phát sinh yêu cầu publish nó ở đâu đó để có thể truy cập từ xa.

Quan sát published_on >= $publishedDateauthor = $author được hardcoded, đây là lỗ hổng thực sự nơi dễ bị SQL Injection và khai thác cơ sở dữ liệu của bạn.

Solution (Positional Bindings & Named Bindings)

Positional Bindings ( ? )

Tại vị trí binding chúng ta sẽ sử dụng ? làm chỗ dành cho các giá trị và sau đó chuyển các giá trị này trong tham số thứ 2 thành mảng thông thường và phải tuân theo cùng một chuỗi các vị trí.

LƯU Ý: Điều tôi muốn nói là với cùng một chuỗi các vị trí trong ví dụ, published_on xuất hiện đầu tiên trong query, do đó, $publishedDate xuất hiện trước trong mảng tham số thứ 2 và sau đó là author & $author tương ứng.

Named Binding ( : )

Trong các binding được đặt tên, chúng ta sử dụng : với name là placeholder. Ví dụ :publishedOn. Ở đây không cần phải theo thứ tự thứ nhất và thứ hai như trước đó

Điều nay giúp bạn tránh khỏi các SQL Injection.

FUN PART

Bạn có thể chạy các phép toán CRUD của mình trong hàm DB:select(). Nhưng không nên làm như vậy. Vì Laravel đã cho DB:select DB::insert DB::update DB::delete DB::statement cho nó.

CRUD OPERATIONS ( DB::select(), DB::update(), DB::insert(), DB::delete(), DB::statement() )

Tip: Tôi thường thích Bindings được đặt tên với :name vì nó sẽ rõ ràng hơn và có thể maintainable trong tương lai mà không gặp nhiều rắc rối

Fetch Details – DB::select()

Để lấy bất kỳ details nào từ cơ sở dữ liệu, bạn sử dụng phương thức này như bạn đã thấy trước đó. Điều này trả về mảng kết quả.

Insert Details – DB::insert()

Để insert vào bảng cơ sở dữ liệu của bạn, bạn sử dụng phương thức này.Nó nhận query trong tham số đầu tiên và các giá trị trong tham số thứ hai:

Update Details – DB::update()

Để cập nhật các record đã tồn tại chúng ta sử dụng như sau. update trả về số lượng rows bị ảnh hưởng.

Delete Details – DB::delete()

Để delete bất kỳ record nào từ cơ sở dữ liệu sử dụng theo cách sau. delete sẽ trả về số rows bị ảnh hưởng.

Generic Statements – DB::statement()

Nhiều queries không trả về kết quả, vì vậy chạy các câu lệnh chung sẽ sử dụng phương thức này.

Kết luận

Hy vọng bạn thực sự thích bài viết này, nếu vậy hãy chia sẻ nó với bạn bè của bạn.

Tài liệu: https://stackcoder.in/posts/how-to-run-raw-queries-securely-in-laravel

Chia sẻ bài viết ngay

Nguồn bài viết : Viblo