JDBC bài 12 Ngăn chặn SQL Injection: Cách PreparedStatement bảo vệ cơ sở dữ liệu

Một trong những lý do lớn nhất khiến PreparedStatement trở thành tiêu chuẩn bắt buộc trong phát triển Backend không chỉ nằm ở hiệu năng, mà chính là khả năng bảo mật tuyệt đối trước lỗ hổng SQL Injection – cơn ác mộng của mọi hệ thống cơ sở dữ liệu.

1. SQL Injection (SQLi) là gì?

SQL Injection là một kỹ thuật tấn công phổ biến, trong đó hacker lợi dụng các lỗ hổng trong việc xử lý đầu vào (input) của ứng dụng để tiêm (inject) các đoạn mã SQL độc hại.

Mục đích của chúng là thay đổi logic ban đầu của câu truy vấn, từ đó lách qua các bước xác thực (bypass login), đánh cắp toàn bộ dữ liệu người dùng, hoặc thậm chí là xóa sạch cơ sở dữ liệu (lệnh DROP TABLE).

2. Lỗ hổng chết người của Statement

Hãy xem xét một kịch bản đăng nhập kinh điển bằng Statement. Ứng dụng yêu cầu người dùng nhập username và password, sau đó kiểm tra xem có bản ghi nào khớp trong Database hay không.

Java

// Dữ liệu lấy từ form đăng nhập do người dùng nhập vào
String inputUsername = "admin";
String inputPassword = "password123";

String sql = "SELECT * FROM users WHERE username = '" + inputUsername + "' AND password = '" + inputPassword + "'";
Statement stmt = conn.createStatement();
ResultSet rs = stmt.executeQuery(sql);

Nếu một người dùng bình thường nhập dữ liệu, câu lệnh sinh ra hoàn toàn hợp lệ:

SELECT * FROM users WHERE username = 'admin' AND password = 'password123'

Nhưng điều gì xảy ra nếu hacker nhập thông tin như sau?

• inputUsername = admin' --

• inputPassword = (nhập bừa bất kỳ)

Khi ghép chuỗi bằng Statement, câu lệnh gửi xuống Database sẽ biến thành:

SELECT * FROM users WHERE username = 'admin' -- ' AND password = '...'

Phân tích hậu quả:

Trong SQL, ký hiệu -- (hoặc # trong MySQL) dùng để comment (chú thích) phần còn lại của dòng.

Database sẽ chỉ thực thi phần đầu: SELECT * FROM users WHERE username = 'admin'. Phần kiểm tra mật khẩu đã bị vô hiệu hóa hoàn toàn! Hacker lập tức đăng nhập thành công dưới quyền admin mà không cần biết mật khẩu.

Đáng sợ hơn, nếu hacker nhập: admin'; DROP TABLE users; -- thì toàn bộ bảng dữ liệu của bạn sẽ bị xóa sạch.

3. Cách PreparedStatement "miễn nhiễm" với SQL Injection

PreparedStatement giải quyết triệt để vấn đề này không phải bằng cách dùng các bộ lọc (filter) rườm rà, mà bằng việc tách bạch hoàn toàn giữa Cấu trúc lệnh (Code) và Dữ liệu (Data).

Như đã học ở Bài 11, khi Hiếu khởi tạo PreparedStatement:

PreparedStatement pstmt = conn.prepareStatement("SELECT * FROM users WHERE username = ? AND password = ?");

1. Biên dịch trước (Pre-compilation): Chuỗi SQL chứa các dấu ? được gửi xuống Database ngay lập tức. Database tiến hành phân tích cú pháp (parse) và chốt cứng cấu trúc (Execution Plan). Lúc này, câu lệnh được định nghĩa rõ ràng: "Đây là một lệnh SELECT tìm kiếm theo 2 điều kiện".

2. Ép kiểu dữ liệu (Strict Typing): Khi bạn gọi pstmt.setString(1, "admin' --"), JDBC Driver và Database hiểu rằng toàn bộ chuỗi "admin' --" chỉ là một giá trị dữ liệu thô (Literal Value) dùng để so sánh, tuyệt đối không được phép thực thi như một mã lệnh SQL.

Bất kể hacker có nhập các ký tự đặc biệt như ', ", =, -- hay DROP TABLE, cơ sở dữ liệu sẽ chỉ coi đó là một phần của chuỗi văn bản bình thường. Hệ thống sẽ đi tìm một người dùng có cái tên chính xác và kỳ quặc là: admin' -- (và dĩ nhiên là không tìm thấy), qua đó chặn đứng hoàn toàn cuộc tấn công.

4. Minh họa thực tế: Chuyển đổi mã an toàn

Đây là cách viết chuẩn mực cho form đăng nhập để đảm bảo an toàn 100%:

Java

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

public class LoginSecure {
    // ... (Khai báo URL, USER, PASSWORD)

    public boolean authenticateUser(String username, String password) {
        // Cấu trúc SQL tĩnh, dùng ? làm placeholder
        String sql = "SELECT id, username FROM users WHERE username = ? AND password = ?";
        
        try (Connection conn = DriverManager.getConnection(URL, USER, PASSWORD);
             PreparedStatement pstmt = conn.prepareStatement(sql)) {
             
            // Gán dữ liệu vào placeholder một cách an toàn
            pstmt.setString(1, username);
            pstmt.setString(2, password);
            
            try (ResultSet rs = pstmt.executeQuery()) {
                // Nếu ResultSet có dữ liệu, nghĩa là đăng nhập thành công
                if (rs.next()) {
                    System.out.println("Đăng nhập thành công! Xin chào, " + rs.getString("username"));
                    return true;
                } else {
                    System.out.println("Sai tên đăng nhập hoặc mật khẩu.");
                    return false;
                }
            }
            
        } catch (SQLException e) {
            e.printStackTrace();
            return false;
        }
    }
}

Tóm lại: Việc ngăn chặn SQL Injection trong Java rất đơn giản, không cần các hàm mã hóa phức tạp, không cần tự viết Regex lọc ký tự. Chỉ cần một nguyên tắc tối thượng duy nhất: Tuyệt đối không bao giờ nối chuỗi đầu vào (input) vào câu lệnh SQL, hãy luôn dùng PreparedStatement và các hàm setter.