O que é SQL Injection

SQL Injection é uma técnica de ataque onde o invasor insere comandos SQL maliciosos em campos de entrada de um site.

Como funciona

Exemplo: um campo de login com a query:

SELECT * FROM users WHERE user = '$user' AND pass = '$pass'

Se o atacante digitar ' OR '1'='1, a query se torna:

SELECT * FROM users WHERE user = '' OR '1'='1' AND pass = ''

Como se proteger

• Use prepared statements (PDO ou MySQLi)
• Valide todas as entradas do usuário
• Mantenha seu CMS atualizado