SQL-инъекция ломает сайт не взломом пароля, а через одну неосторожную строку

SQL-инъекция ломает сайт не взломом пароля, а через одну неосторожную строку

SQL-инъекция возникает там, где запрос в базу собирают из пользовательского ввода без проверки. Достаточно формы поиска, параметра в URL, поля логина или фильтра, чтобы атакующий подставил свой SQL и получил доступ к данным, изменил записи или обошёл авторизацию.

Защита строится на простых правилах:
• используйте подготовленные запросы и плейсхолдеры;
• не склеивайте SQL через конкатенацию строк;
• проверяйте типы данных: число должно остаться числом, список — списком допустимых значений;
• выдавайте пользователю минимум ошибок, а подробности оставляйте в логах.

Отдельно проверьте плагины и темы: уязвимость часто сидит не в ядре WordPress, а в самописных обработчиках AJAX, фильтрах и формах обратной связи. Если разработчик использует один универсальный запрос для всего подряд, это красный флаг. Логи запросов и тест на ввод с кавычками, апострофами и спецсимволами помогают быстро найти слабые места.

Если нужен короткий чек: любой ввод извне должен либо уходить в подготовленный запрос, либо жёстко валидироваться до попадания в SQL.