Séparer les données de la structure de requête
Insérer directement une valeur dans une chaîne SQL permet aux apostrophes et caractères spéciaux de modifier l’interprétation. Une valeur inattendue ou malveillante peut changer la condition ou ajouter du SQL.
Une requête paramétrée garde sa structure fixe et transmet les valeurs séparément. Utilisez la syntaxe de paramètres documentée par l’outil de base de données et fournissez les valeurs dans les champs prévus.
Valider aussi les identifiants et règles métier
Les paramètres représentent généralement des valeurs, pas les noms de tables, colonnes ou tris. Pour choisir un identifiant, faites correspondre l’entrée à une liste autorisée fixe au lieu d’insérer du texte arbitraire.
La liaison ne remplace pas la validation : contrôlez formats, plages et autorisations avant une écriture. Vérifiez la forme de la requête et testez les valeurs limites pour ne modifier que les lignes prévues.