Konuyu Açan
#1
Giriş
Web uygulamalarında sayfalama ve veri çekme işlemleri dikkatli tasarlanmadığında SQL injection riskini artırabilir. Özellikle LIMIT/OFFSET gibi sayfalama parametreleri kullanıcıdan gelen değerlerle inşa edildiğinde güvenlik açıkları oluşabilir. Bu yüzden hem tasarım hem de uygulama katmanında güvenlik önlemleri kritik öneme sahip.
1) Temel riskler ve doğru yaklaşım
Kullanıcıdan alınan sayfalama değerlerini doğrudan sorguya eklemek, özellikle hata ayıklama veya yanlış tür dönüşümü durumlarında SQL enjeksiyonuna kapı açar. En güvenli yaklaşım, tüm parametreleri sınırlandırılmış ve tür güvenli şekilde kullanmaktır. Örneğin sayfa ve sayfa-boyutu değerlerini uygulama katmanında doğrulayın; 1’den başlayıp belirli bir maksimuma kadar sınır koyun. Hazır ifadeler kullanın ve dinamik SQL’den kaçının.gibi parametrik sorgular bu durumu güvenli hale getirir.KOD1SELECT * FROM products ORDER BY created_at DESC LIMIT ? OFFSET ?
2) Parametre güvenliği için pratik kurallar
Sayfa boyutunu (page_size) ve sayfayı (page) tamsayı olarak alın; negatif veya çok büyük değerleri reddedin.
LIMIT ve OFFSET değerlerini doğrudan string concatenation ile inşa etmeyin; her iki değeri de bound parametre olarak kullanın.
Veritabanı sürümünüzün desteklediği güvenli sayfalama mekanizmalarını kullanın; bazı veritabanlarında dinamik LIMIT için özel sözdizimleri vardır.
Kullanıcıya üretilecek sayfalama aralıklarını ve isteğe bağlı filtreleri açık şekilde sınırlandırın; API seviyesinde de minimum ve maksimum değerleri belirtin.
3) Büyük veritabanlarında performans ve güvenlik dengesi
Sayfalama performansını artırmak için desenler kullanın: kendinden sonraki anahtar ile sayfalama, sayfalama için keşfe dayanmayıp imtiyazlı indeksler kullanma gibi. OFFSET büyük değerler için yavaşlayabilir; bu durumda sayfa kaydırmayı ve keyset pagination gibi teknikleri düşünün. Güvenlik açısından, sorgu planını inceleyin ve kullanıcı girdilerinin hangi noktalarda etkili olduğunu izleyin.
4) Uygulama örnekleri ve test önerileri
Basit GET parametreleri ile sayfalama: page ve page_size için doğrulama katmanı yazın, zıttı değerleri otomatik olarak kırpın.
Farklı filtrelerle test: sadece tarih, kategori gibi filtreler kullanıldığında da sayfalamanın güvenliğini test edin.
Güvenlik tarama araçları ile test: enjeksiyon tarama araçlarına karşı parametrik sorguların sızdırmazlığını doğrulayın.
Konuya ilişkin kendi deneyimleriniz veya kullandığınız frameworklere göre önerileriniz neler? Özellikle hangi durumda hangi sayfalama tekniğini tercih ettiniz ve hangi güvenlik yanlışını gördünüz?
