Exponer los nombres de los campos de la base de datos en HTML

Es muy común hacer esto. Como ha notado, hay un beneficio significativo para mantener el código simple.

Si tiene una vulnerabilidad de inyección de SQL, un atacante puede descubrir la estructura de su base de datos utilizando INFORMATION_SCHEMA. Así que ocultar la estructura de su base de datos no le ayuda mucho.

Otra preocupación en esta área es Vulnerabilidades de asignación masiva . Tal vez un usuario pueda actualizar sus detalles de usuario: nombre, correo electrónico, contraseña, etc. Pero no se supone que puedan actualizar el campo "is_admin". Con el código que enruta automáticamente los campos de formulario a las declaraciones SQL, a veces pueden aparecer vulnerabilidades como esta.

Un escenario común donde la revelación de nombres de campo de DB al atacante arruina la seguridad es la inyección de SQL. En este caso, es posible que el atacante no pueda ejecutar show tables , select * from INFORMATION_SCHEMA.TABLES y similares para obtener toda la estructura de la base de datos. Es posible que tenga acceso de lectura muy limitado (por ejemplo, inyección de SQL ciego ). Determinar la estructura de la base de datos en tales casos puede requerir algo de tiempo y conocimiento .

Si le da al atacante sugerencias sobre las tablas y los campos de la base de datos, puede probar varias inyecciones usando los nombres que le proporcionó. El ataque será mucho más rápido, requerirá menos calificación por parte del atacante y mucho más difícil de detectar en los registros.

Creo que exponer los nombres de los campos de la base de datos no es una buena práctica, pero no es un riesgo tan alto para los campos en sí mismos, porque para acceder a esos campos, uno tiene que hackear sus credenciales de la base de datos, y una vez que las credenciales son robadas, entonces No importa si ya conocen los campos o no, ellos mismos lo explorarán por sí mismos.

Habiendo dicho esto, los campos de la base de datos expuestos pueden usarse para algún otro tipo de ataque de seguridad. (en el paso de recopilación de información)

La conclusión es: nunca exponga los nombres de los campos si no tiene que hacerlo.