Questão de Segurança da Informação — Ataques e ameaças — CESPE / CEBRASPE 2026

Segurança em Aplicações Web – SQL Injection e Prepared Statements

❌ ERRADO. A afirmação de que um ataque de injeção de SQL pode ser bem-sucedido em aplicações que utilizam prepared statements com vinculação de parâmetros é falsa. Na verdade, o uso de prepared statements (ou consultas parametrizadas) é a principal técnica de defesa contra SQL Injection, pois separa claramente os dados fornecidos pelo usuário do código SQL executado. Quando os dados são vinculados como parâmetros, eles são tratados como valores literais, não como parte da instrução SQL, impedindo que caracteres maliciosos alterem a estrutura da consulta.

A metodologia OWASP (Open Web Application Security Project) classifica a injeção de SQL como uma das vulnerabilidades mais críticas e recomenda expressamente o uso de prepared statements com binding de parâmetros como a forma mais eficaz de prevenção. Portanto, se a aplicação implementa corretamente essa técnica, o ataque de SQL Injection não será bem-sucedido.