SQL Injection מוסבר בפשטות

דמיינו טופס התחברות שבונה שאילתה כך:

SELECT * FROM users WHERE name = 'INPUT'

אם המשתמש מקליד בשם המשתמש את הטקסט: ' OR '1'='1
השאילתה הופכת ל:

SELECT * FROM users WHERE name = '' OR '1'='1'

והתנאי תמיד אמיתי — התוקף נכנס בלי סיסמה. זו SQL Injection.

למה זה קורה?

האפליקציה מערבבת קוד (שאילתת SQL) עם קלט משתמש כטקסט אחד. בסיס הנתונים לא יודע להבדיל ביניהם.

איך מתגוננים (החשוב באמת)

• Prepared Statements / Parameterized Queries — מפרידים בין הפקודה לנתונים. זו ההגנה מספר 1.
• ORM (כמו Prisma שאנחנו משתמשים בו כאן) — בונה שאילתות בטוחות אוטומטית.
• עקרון המינימום — למשתמש ה-DB של האפליקציה תנו רק את ההרשאות שהוא באמת צריך.

הכלל הזהב: לעולם אל תבנו שאילתה ע"י שרשור מחרוזות עם קלט משתמש.