Tujuan Pembelajaran

Memahami cara kerja SQL injection
Bisa menggunakan parameterized query

Analogi

Diagram


      SQL Injection = Menyusupkan Pesan ke Formulir:

[Form] Nama: ' OR '1'='1
[Query] SELECT * FROM users WHERE name = '' OR '1'='1'
[Hasil] Semua data user terbuka!

SQL injection — menyisipkan kode SQL ke input form

Penjelasan Konsep

SQL Injection

SQL Injection adalah serangan di mana attacker menyisipkan kode SQL ke input form.

Kalau website tidak melindungi query-nya, attacker bisa membaca, mengubah, atau menghapus seluruh database.

Cara kerja

Input form nama: ' OR '1'='1 Query jadi: SELECT * FROM users WHERE name = '' OR '1'='1' Karena '1'='1' selalu true,

Semua data user terbuka!

Pencegahan

Gunakan parameterized query — jangan pernah concat string ke SQL query!

Inti yang Perlu Dipahami

Bagian ini berfokus pada memahami cara kerja SQL injection., dan bisa menggunakan parameterized query. Jangan terburu-buru menghafal istilahnya. Lebih penting untuk memahami peran setiap konsep dan kapan konsep itu muncul dalam pekerjaan web development.

Saat membaca SQL Injection, gunakan tujuan belajar sebagai penanda arah. Kalau kamu sudah bisa menjelaskan tujuan itu dengan kata-katamu sendiri, berarti fondasinya mulai terbentuk.

Cara Membayangkannya

SQL injection — menyisipkan kode SQL ke input form. Analogi ini dipakai supaya konsep teknis tidak terasa melayang. Hubungkan setiap istilah dengan perannya: siapa yang meminta, siapa yang memproses, data apa yang berpindah, dan hasil apa yang diharapkan.

Kalau analoginya sudah terasa masuk akal, barulah lihat istilah teknisnya. Cara ini membuat materi lebih mudah dipahami daripada langsung menghafal definisi.

Saat Melihat Contoh Kode

Contoh kode pada chapter ini memakai bahasa javascript. Bacalah contoh kode sebagai ilustrasi alur, bukan sebagai bagian yang harus langsung dihafal. Baris 1-6: Vulnerable. Baris 8-11: Secure dengan parameterized query. Baris 13-16: ORM. Baris 18-20: Payloads umum.

Perhatikan nama fungsi, urutan langkah, dan data yang berpindah. Biasanya tiga hal itu sudah cukup untuk memahami hubungan antara teori dan praktik.

Konteks dalam Perjalanan Belajar

Setiap konsep di platform ini dipilih karena dipakai di industri. Fokus pada pemahaman, bukan hafalan.

Kamu sedang membangun skill inti. Setelah bagian ini, kamu bisa memilih spesialisasi sesuai minat: frontend, backend, atau DevOps.

Gunakan pertanyaan reflektif dan prompt AI di akhir chapter sebagai latihan aktif. Membaca saja tidak cukup — kamu perlu menjelaskan ulang dengan kata-katamu sendiri.

Contoh Kode

javascript

// VULNERABLE — String concatenation
app.get('/user', (req, res) => {
  const query = `SELECT * FROM users WHERE name = '${req.query.name}'`;
  db.query(query); // BERBAHAYA!
});

// SECURE — Parameterized query
app.get('/user', (req, res) => {
  db.query('SELECT * FROM users WHERE name = ?', [req.query.name]);
});

// SECURE — Dengan ORM (Sequelize/Prisma)
const user = await User.findOne({
  where: { name: req.query.name }
});

// SQL INJECTION PAYLOADS yang umum:
// ' OR '1'='1' --
// ' UNION SELECT * FROM passwords --
// '; DROP TABLE users; --

Penjelasan Kode

Baris 1-6: Vulnerable. Baris 8-11: Secure dengan parameterized query. Baris 13-16: ORM. Baris 18-20: Payloads umum.

Prompt AI

Jelaskan bedanya parameterized query dan stored procedures.

Pertanyaan Reflektif

Scan aplikasimu — ada query yang pakai string concatenation? Fix sekarang!