Riscuri de securitate
*********************

.[perex]
Bazele de date conțin adesea date sensibile și permit operațiuni periculoase. Nette Database oferă o serie de caracteristici de securitate. Cu toate acestea, este esențial să înțelegeți diferența dintre API-urile sigure și cele nesigure.


Injecție SQL .[#toc-sql-injection]
==================================

Injecția SQL este cel mai grav risc de securitate atunci când se lucrează cu baze de date. Aceasta are loc atunci când o intrare necontrolată a utilizatorului devine parte a unei interogări SQL. Un atacator își poate injecta propriile comenzi SQL, obținând sau modificând date din baza de date.

```php
// ❌ UNSAFE CODE - vulnerabil la injectarea SQL
$database->query("SELECT * FROM users WHERE name = '$_GET[name]'");

// Atacatorul poate introduce ceva de genul: ' OR '1'='1
// Interogarea rezultată va fi:
// SELECT * FROM users WHERE name = '' OR '1'='1'
// Aceasta returnează toți utilizatorii!
```

Același lucru este valabil și pentru Database Explorer:

```php
// ❌ CODUL UNSAFE
$table->where('name = ' . $_GET['name']);
$table->where("name = '$_GET[name]'");
```


Interogări parametrizate sigure .[#toc-safe-parameterized-queries]
==================================================================

Modul sigur de a introduce valori în interogările SQL este prin interogări parametrizate. Nette Database oferă mai multe modalități de utilizare a acestora.


Semne de întrebare de tip Placeholder .[#toc-placeholder-question-marks]
------------------------------------------------------------------------

Cea mai simplă metodă este utilizarea semnelor de întrebare:

```php
// ✅ Interogări parametrizate sigure
$database->query('SELECT * FROM users WHERE name = ?', $_GET['name']);

// ✅ Condiție sigură în Explorer
$table->where('name = ?', $_GET['name']);
```

Același lucru este valabil pentru toate celelalte metode din Database Explorer care permit inserarea de expresii cu semne de întrebare și parametri.

.[warning]
Valorile trebuie să fie de tip scalar (`string`, `int`, `float`, `bool`) sau `null`. Dacă, de exemplu, `$_GET['name']` este un array, Nette Database va include toate elementele sale în interogarea SQL, ceea ce poate fi nedorit.


Array-uri de valori .[#toc-value-arrays]
----------------------------------------

Pentru clauzele `INSERT`, `UPDATE`, sau `WHERE`, putem utiliza matrice de valori:

```php
// ✅ INSERTARE sigură
$database->query('INSERT INTO users', [
	'name' => $_GET['name'],
	'email' => $_GET['email'],
]);

// ✅ UPDATE sigur
$database->query('UPDATE users SET', [
	'name' => $_GET['name'],
	'email' => $_GET['email'],
], 'WHERE id = ?', $_GET['id']);
```

Nette Database evadează automat toate valorile trecute prin interogări parametrizate. Cu toate acestea, trebuie să ne asigurăm de tipul corect de date al parametrilor.


Cheile array nu sunt un API sigur .[#toc-array-keys-are-not-a-safe-api]
=======================================================================

În timp ce valorile din array-uri sunt sigure, nu același lucru se poate spune despre chei:

```php
// ❌ UNSAFE CODE - cheile pot conține o injecție SQL
$database->query('INSERT INTO users', $_GET);
$database->query('SELECT * FROM users WHERE', $_GET);
$table->where($_GET);
```

Pentru comenzile `INSERT` și `UPDATE`, acesta este un defect de securitate critic - un atacator ar putea introduce sau modifica orice coloană din baza de date. De exemplu, ar putea seta `is_admin = 1` sau introduce date arbitrare în coloane sensibile.

În condițiile `WHERE`, acest lucru este și mai periculos, deoarece permite **SQL enumeration** - o tehnică de a extrage treptat informații despre baza de date. Un atacator ar putea încerca să exploreze salariile angajaților injectând în `$_GET` astfel:

```php
$_GET = ['salary >', 100000];   // începe să stabilească intervalele salariale
```

Cu toate acestea, principala problemă este că condițiile `WHERE` acceptă expresii SQL în chei:

```php
// Utilizarea legitimă a operatorilor în chei
$table->where([
    'age > ?' => 18,
    'ROUND(score, ?) > ?' => [2, 75.5],
]);

// ❌ INSEGURĂ: atacatorul își poate injecta propriul SQL
$_GET = ['1) UNION SELECT name, salary FROM users WHERE (is_admin = ?' => 1];
$table->where($_GET); // permite atacatorului să obțină salariile administratorilor
```

Aceasta este încă o dată **injecție SQL**.


Lista albă a coloanelor .[#toc-whitelisting-columns]
----------------------------------------------------

Dacă doriți să permiteți utilizatorilor să aleagă coloanele, utilizați întotdeauna o listă albă:

```php
// ✅ Procesare sigură - numai coloane permise
$allowedColumns = ['name', 'email', 'active'];
$values = array_intersect_key($_GET, array_flip($allowedColumns));

$database->query('INSERT INTO users', $values);
```


Identificatori dinamici .[#toc-dynamic-identifiers]
===================================================

Pentru numele dinamice ale tabelelor și coloanelor, utilizați marcajul `?name`:

```php
// ✅ Utilizarea în siguranță a identificatorilor de încredere
$table = 'users';
$column = 'name';
$database->query('SELECT ?name FROM ?name', $column, $table);

// ❌ UNSAFE - nu utilizați niciodată date introduse de utilizator
$database->query('SELECT ?name FROM users', $_GET['column']);
```

Simbolul `?name` ar trebui utilizat numai pentru valorile de încredere definite în codul aplicației. Pentru valorile furnizate de utilizator, utilizați din nou o listă albă.