** 📌SQL 보안 기법**

SQL Injection을 완벽히 차단하는 PreparedStatement 기법과

서버 유효성 검사를 병행하는 실무 + 면접 대비용 보안 전략 정리

---

🧩 목차

1. SQL Injection이란?
2. 공격 예시 및 위험성
3. 방지 방법: PreparedStatement
4. 유효성 검사 병행 처리
5. 실전 예제 (취약한 코드 → 안전한 코드)
6. 실무 보안 팁
7. 기술 면접 대비 핵심 요약
8. 마무리 요약 + Notion 작성 팁

---

✅ 1. SQL Injection이란?

항목	설명
정의	사용자가 입력창에 악의적인 SQL을 입력해 DB를 조작하는 공격
결과	로그인 우회, 데이터 삭제, 모든 테이블 열람 등 치명적인 피해 발생 가능
위험도	🔴 매우 높음 → 반드시 방어 코딩 필요

---

✅ 2. 공격 예시 및 위험성

-- 사용자가 입력한 ID: ' OR 1=1 --
SELECT * FROM members WHERE userid='' OR 1=1 --' AND userpw='...'

문제점	설명
' OR 1=1 --	항상 true인 조건으로 로그인 우회 가능
--	뒤의 조건문 무시 (주석 처리됨)
🚨 결과	관리자 계정 없이 로그인 성공, DB 전제 조회/변조 가능

---

✅ 3. 방지 방법: PreparedStatement 사용

방법	설명
PreparedStatement	SQL에 변수 자리(?)를 두고, 값은 따로 전달하는 방식
장점	내부적으로 SQL과 값을 분리 → SQL Injection 불가능
반드시 사용	모든 SQL 입력 구문에서 필수로 적용해야 함

---

🔐 안전한 PreparedStatement 예제

String sql = "SELECT * FROM members WHERE userid=? AND userpw=?";
PreparedStatement ps = conn.prepareStatement(sql);
ps.setString(1, userid);  // 값만 바인딩
ps.setString(2, userpw);  // SQL 구조는 건드리지 않음

---

🔴 절대 사용하면 안 되는 방식 (취약)

// 위험! 직접 문자열 연결
String sql = "SELECT * FROM members WHERE userid='" + userid + "' AND userpw='" + userpw + "'";

---

✅ 4. 유효성 검사 병행 처리

위치	예시	설명
💻 JavaScript	onsubmit()에서 빈칸 확인	빠르고 사용자 친화적
🖥️ Servlet	`if(id == null
병행 이유	JS는 꺼질 수 있음 → 서버 유효성 검사는 필수!

---

✅ 5. 실전 예제 (로그인 처리 기준)

---

📄 안전한 LoginServlet.java

protected void doPost(HttpServletRequest req, HttpServletResponse resp)
    throws ServletException, IOException {

  req.setCharacterEncoding("UTF-8");
  String userid = req.getParameter("userid");
  String userpw = req.getParameter("userpw");

  // 서버 측 유효성 검사
  if (userid == null || userid.trim().equals("") || userpw == null || userpw.trim().equals("")) {
    PrintWriter out = resp.getWriter();
    out.println("<script>alert('아이디와 비밀번호를 모두 입력하세요'); history.back();</script>");
    return;
  }

  // DB 로그인 처리
  MemberDAO dao = new MemberDAO();
  boolean isValid = dao.login(userid, userpw);

  if (isValid) {
    req.getSession().setAttribute("loginId", userid);
    resp.sendRedirect("main.jsp");
  } else {
    PrintWriter out = resp.getWriter();
    out.println("<script>alert('로그인 실패'); location.href='login.jsp';</script>");
  }
}

---

📄 MemberDAO.java (PreparedStatement 적용)

public boolean login(String id, String pw) {
  boolean result = false;
  try {
    Connection conn = DB.getConnection();
    String sql = "SELECT * FROM members WHERE userid=? AND userpw=?";
    PreparedStatement ps = conn.prepareStatement(sql);
    ps.setString(1, id);
    ps.setString(2, pw);
    ResultSet rs = ps.executeQuery();
    result = rs.next(); // 결과가 존재하면 로그인 성공
    conn.close();
  } catch(Exception e) {
    e.printStackTrace();
  }
  return result;
}

---

✅ 6. 실무 보안 팁 🛡️

항목	설명
모든 SQL에 PreparedStatement 사용	SELECT, INSERT, UPDATE, DELETE 전부
입력값은 항상 유효성 검사	길이 제한, 공백 제거, null 체크 등
DB 계정은 최소 권한으로 생성	SELECT/INSERT만 허용 (관리자 권한 X)
에러 메시지는 사용자에게 직접 노출 금지	e.printStackTrace()는 로그로만 남김

---

✅ 7. 기술 면접 대비 핵심 요약 💬

질문	요점 정리
SQL Injection이란?	사용자가 SQL 구문을 조작해서 DB를 공격하는 방식
방지 방법은?	PreparedStatement 사용으로 SQL과 값을 분리
Java에서 입력값 검사 예시는?	`if(id == null
왜 JavaScript만으로는 충분하지 않나요?	꺼질 수 있음, 서버에서는 반드시 보안 검사 수행 필요

---

✅ 8. 마무리 요약 🧠

• 🚨 SQL Injection은 보안 사고 1순위 → 반드시 대비 필요
• 🔐 PreparedStatement는 가장 기본이자 강력한 방어 수단
• 🧼 서버 유효성 검사로 잘못된 입력 차단 (JS만 믿지 말기!)
• ✅ SQL + 입력값은 절대 직접 연결 X, 항상 분리해서 처리할 것