¿Por qué el SQL no se escapa / sanea de forma predeterminada?

SQL es un lenguaje de programación. El problema no es la falta de SQL sobre "entradas de desinfección"; SQL es la entrada, no algo que recibe entradas.

El problema son las aplicaciones que se encargan de generar automáticamente algo de SQL basado en una mezcla aleatoria de elementos de cadena de origen dudoso. Una aplicación que sufre de una vulnerabilidad de inyección SQL, es una aplicación que actúa como un generador de código . Y la generación automática de código es extremadamente difícil de realizar correctamente cuando la sintaxis de destino fue destinada al consumo humano: el generador debe conocer todos los detalles arcanos del análisis y evitar todos los pequeños detalles y excepciones que están destinados a ayudar a los humanos, pero La vida es muy dura para las máquinas.

Sin embargo, cuando existe la necesidad de ejecutar sentencias SQL con parámetros provistos externamente, existe una solución limpia: se llama declaraciones preparadas . Las bases de datos SQL son compatibles y han sido compatibles con sentencias largas y preparadas. No puede culpar a SQL por "no sanear entradas" porque SQL ofrece exactamente un método para "sanear entradas"; Debes culpar a los desarrolladores por no usarlo.

(SQL puede ser culpado por un gran número de otras cosas, pero no por esta).