Keamanan Web: Tips Mencegah SQL Injection dalam Aplikasi PHP

SQL Injection masih menjadi salah satu ancaman keamanan paling umum pada aplikasi web, terutama yang dibangun menggunakan PHP. Serangan ini memungkinkan peretas mengakses atau memodifikasi data dalam database dengan cara menyisipkan perintah SQL berbahaya melalui input pengguna.

Sebagai developer PHP, penting untuk memahami cara kerja SQL Injection dan bagaimana cara mencegahnya. Berikut ini adalah tips dan teknik efektif untuk melindungi aplikasi Anda.

⚠️ Apa Itu SQL Injection?

SQL Injection adalah teknik di mana penyerang menyisipkan atau “menyuntikkan” perintah SQL ke dalam input aplikasi, yang kemudian dijalankan oleh server database. Jika tidak ada validasi atau penyaringan yang tepat, serangan ini bisa:

• Mengakses data sensitif (seperti password)
• Menghapus data dari tabel
• Mengambil alih akun admin
• Bahkan mengakses sistem server

Contoh input berbahaya:

' OR '1'='1

✅ Tips Mencegah SQL Injection dalam PHP

1. Gunakan Prepared Statements (PDO atau MySQLi)

Prepared statements adalah cara paling aman untuk menangani query database. Dengan prepared statements, SQL dan data diproses secara terpisah sehingga mencegah injeksi.

Contoh dengan PDO:

$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ?");  
$stmt->execute([$email]);

Contoh dengan MySQLi:

$stmt = $mysqli->prepare("SELECT * FROM users WHERE email = ?");  
$stmt->bind_param("s", $email);  
$stmt->execute();

2. Validasi dan Sanitasi Input

• Gunakan filter_input() atau filter_var() untuk membersihkan input
• Pastikan input sesuai format yang diharapkan (misalnya, angka, email, dsb.)

Contoh:

$email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);

3. Hindari Query Dinamis yang Disusun Manual

Query seperti ini sangat berisiko:

$query = "SELECT * FROM users WHERE email = '$email'";

Gunakan selalu binding parameter!

4. Gunakan Hak Akses Minimum pada Database

Jangan pernah memberikan akses root pada akun database yang digunakan aplikasi. Gunakan user dengan izin terbatas (read/write sesuai kebutuhan).

5. Aktifkan Error Handling dengan Aman

Jangan tampilkan pesan error database di halaman web karena bisa memberikan petunjuk kepada penyerang.

Solusi:

Gunakan try-catch pada koneksi PDO 

Log error ke file, bukan ditampilkan ke user

6. Waspadai Input dari API & Query String

Jangan hanya fokus pada $_POST. Pastikan juga Anda memfilter data dari $_GET, $_COOKIE, dan bahkan data JSON dari request API.

🛡️ Kesimpulan

Mencegah SQL Injection bukan hanya soal menulis kode “berfungsi”, tapi juga “aman”. Gunakan selalu prepared statements, validasi input, dan kelola hak akses database dengan bijak. Keamanan aplikasi adalah tanggung jawab utama seorang developer.