SQL Injection 방어 실전 가이드

SQL Injection 공격 시나리오
// 취약한 로그인 쿼리
const query = `SELECT * FROM users WHERE email = '${email}' AND password = '${password}'`;

// 공격자가 입력하는 값:
// email: admin@example.com' --
// password: anything

// 완성되는 쿼리 (-- 이후는 주석 처리됨):
// SELECT * FROM users WHERE email = 'admin@example.com' --' AND password = 'anything'
// 결과: password 검증 없이 admin 계정으로 로그인 성공

// 더 위험한 예:
// email: ' OR '1'='1
// 완성 쿼리: SELECT * FROM users WHERE email = '' OR '1'='1' ...
// 결과: 모든 사용자 레코드 반환

취약한 코드 vs 안전한 코드 — Node.js + MySQL
const mysql = require('mysql2/promise');

// 취약한 코드 — 문자열 직접 연결
async function findUserVulnerable(email, password) {
  const query = `SELECT * FROM users WHERE email = '${email}' AND password = '${password}'`;
  const [rows] = await connection.query(query);
  return rows[0];
}

// 안전한 코드 — Prepared Statement (파라미터 바인딩)
async function findUserSafe(email, password) {
  const query = 'SELECT * FROM users WHERE email = ? AND password_hash = ?';
  const hashedPassword = await bcrypt.hash(password, 10);
  const [rows] = await connection.execute(query, [email, hashedPassword]);
  // connection.execute()는 내부적으로 Prepared Statement 사용
  return rows[0];
}

// PostgreSQL (pg 패키지) — 동일 원리
async function findUserPostgres(email) {
  const result = await pool.query(
    'SELECT id, name, email FROM users WHERE email = $1',
    [email]  // $1에 바인딩, 절대 쿼리 문자열로 해석 안 됨
  );
  return result.rows[0];
}

Prisma — 안전한 사용 vs 위험한 raw 쿼리
// 안전 — Prisma ORM API 사용 (자동으로 파라미터 바인딩)
const user = await prisma.user.findFirst({
  where: {
    email: userInputEmail,  // 자동으로 파라미터화됨
    isActive: true
  },
  select: { id: true, name: true, email: true }  // 필요한 필드만 선택
});

// 안전 — Prisma $queryRaw (템플릿 리터럴로 자동 이스케이프)
const result = await prisma.$queryRaw`
  SELECT * FROM users WHERE email = ${userInputEmail}
`;
// 주의: 일반 문자열이 아닌 태그드 템플릿 리터럴로 사용해야 함

// 위험 — 문자열 보간 사용 (절대 금지)
const badResult = await prisma.$queryRawUnsafe(
  `SELECT * FROM users WHERE email = '${userInputEmail}'`  // SQLi 취약
);

// TypeORM — 안전한 파라미터 바인딩
const user = await userRepository
  .createQueryBuilder('user')
  .where('user.email = :email', { email: userInputEmail })
  .getOne();

최소 권한 원칙 — DB 계정 권한 분리
-- 애플리케이션 전용 DB 계정 생성 (최소 권한)
CREATE USER 'app_user'@'%' IDENTIFIED BY 'strong_password';

-- 필요한 권한만 부여 (DROP, CREATE, ALTER 등 DDL 권한 없음)
GRANT SELECT, INSERT, UPDATE, DELETE ON myapp.* TO 'app_user'@'%';

-- 관리 작업용 별도 계정 (마이그레이션 등에만 사용)
CREATE USER 'app_admin'@'localhost' IDENTIFIED BY 'admin_password';
GRANT ALL PRIVILEGES ON myapp.* TO 'app_admin'@'localhost';

-- 애플리케이션 .env
-- DB_USER=app_user  ← 제한된 권한만 가진 계정 사용
-- 공격자가 SQLi로 쿼리를 실행해도 DROP TABLE 등은 불가능