Injections : séparer une instruction des données

L'unique principe

Le moteur doit recevoir la commande et les données séparément. Des requêtes paramétrées, des commandes système avec un tableau d'arguments, et des moteurs de templates qui marquent le contenu non sûr. Filtrer les chaînes est une course qu'on perd toujours.

Où ça apparaît

Les bases de données, les commandes du système d'exploitation, les requêtes de bibliothèques, les appels à un moteur de recherche, et aussi dans les adresses construites dynamiquement. Et oui — aussi dans les prompts à un modèle de langage, où le contenu externe peut être interprété comme une instruction.

Défense en profondeur

Permissions minimales pour l'utilisateur de la base de données, afin que même si quelque chose est passé, les dégâts soient limités. Et validation de l'entrée contre un schéma — pas comme substitut à la séparation, mais comme couche supplémentaire qui bloque les entrées absurdes dès le départ.