Foydalanuvchi kiritgan qiymat SQL so'roviga birlashtirilib yuborilayotgan bo'lsa — hujumchi so'rov mantiq'ini o'zgartirib, ma'lumot bazasini o'qiy yoki o'zgartirishi mumkin.

Asosiy mexanizm

// XAVFLI — satrni to'g'ridan-to'g'ri birlashtirish
sql = "SELECT * FROM users WHERE email='" + email + "' AND pass='" + pass + "'";
db.query(sql);

// Hujum: email = ' OR '1'='1
// natija SQL:
SELECT * FROM users WHERE email='' OR '1'='1' AND pass='x'
                  // ← "1=1" doim rost → shart yutadi

// To'g'ri — parametrli so'rov
sql = "SELECT * FROM users WHERE email = ? AND pass = ?";
db.query(sql, [email, pass]);    // qiymat alohida, kod sifatida emas

Asosiy SQL tiplari

# 1) kodda SQL qatori
grep -rnE "SELECT |INSERT |UPDATE |DELETE |query\(|raw\(|sequelize" src/ | head -20

# 2) birlashtirish belgilari (xavfli)
grep -rnE "\+ *(req\.|request\.|params|body)|\$\{.*\}" src/ | grep -iE "query|sql"

# 3) raw() va query() — xavfli joylar
grep -rn "\.raw(" src/ | head
grep -rn "prisma\.\$queryRaw" src/ | head

# 4) parametrlar kim to'ldiradi?
grep -rnE "req\.(body|query|params)" src/controllers/ | head -20

1. Parametrli so'rov — asosiy yechim

// Node + Prisma (Lingofy usuli)
const user = await prisma.user.findUnique({
  where: { email: String(email).toLowerCase() }
});

// Raw SQL kerak bo'lsa
await prisma.$queryRaw`SELECT * FROM users WHERE email = ${{email}}`;
// ↑ tag ichida interpolatsiya — ${{ }} emas, oddiy $1 emas

// MySQL / raw modul
db.query('SELECT * FROM users WHERE email = ?', [email]);

2. Hech qachon birlashtirmang

// ❌
db.query("SELECT * FROM u WHERE id = " + id);

// ✅
db.query("SELECT * FROM u WHERE id = ?", [Number(id)]);

3. Qatlamli himoya

• WAF (qo'shimcha, asosiy emas)
• DB foydalanuvchisi — faqat o'z bazasiga ruxsat
• Ma'lumot bazasi internetga ochiq emas (port yopiq)
• Xatolar foydalanuvchiga ko'rsatilmasin

• Barcha so'rovlar parametrli (placeholder ishlatiladi)
• Hech qayerda satrni `+` bilan birlashtirish yo'q
• `ORDER BY` va `LIMIT` ham parametrli
• Xato sahifalari SQL matni ko'rsatmaydi
• DB porti internetdan yopiq
• DB foydalanuvchisi minimal huquq bilan
• `id='` kabi payload bilan test qilindi