다음 SQL 쿼리문에 대한 설명으로 옳지 않은 것은?SELECT * F… | [국회직 9급 정보보호론] 25년 1회차 기출문제 상세 페이지

1[국회직 9급 정보보호론] 25년 1회차

다음 SQL 쿼리문에 대한 설명으로 옳지 않은 것은?
SELECT * FROM user WHERE name = '' or ''='';

SQL 인젝션 공격에 취약한 문장이다.

WHERE절에서 user의 모든 레코드를 반환받을 가능성이 있다.

위 SQL 쿼리문의 취약점 해결 방법으로 prepared statements를 사용하는 것이 좋다.

입력값 검증을 위하여 블랙리스트 방식으로 유효한 값만 허용하는 것이 좋다.

JPA, Hibernate 등 ORM으로 데이터를 추상화하는 것이 좋다.

해설

옳지 않은 설명은 블랙리스트 방식으로 유효한 값만 허용한다는 내용이다.

유효한 값만 허용하는 방식은 화이트리스트이고, 블랙리스트는 위험한 값을 지정해 막는 방식이다. 용어가 뒤바뀌었으며 입력값 검증에는 화이트리스트가 권장된다.

오류나 개정된 내용이 보이면 알려주세요

이어서 풀어보기