Quiz: Sécurité et gestion des requêtes SQL — 20 domande

1. Quelle est la fonction principale d’une requête préparée PDO ?

A. Remplacer les jointures par des filtres côté navigateur

B. Transformer une requête SELECT en procédure stockée

C. Séparer le SQL des valeurs puis exécuter avec des paramètres

D. Concaténer automatiquement les valeurs dans la chaîne SQL

Answer: (C)

Spiegazione

Une requête préparée sépare le texte SQL des valeurs, puis transmet les paramètres à l’exécution, ce qui évite la concaténation dangereuse. Elle ne sert pas à assembler des chaînes SQL automatiquement.

2. Que permet l’option PDO::ATTR_EMULATE_PREPARES réglée à false ?

A. Convertir les résultats en tableau associatif

B. Autoriser la concaténation des paramètres nommés

C. Utiliser le mécanisme natif des requêtes préparées du SGBD

D. Afficher les erreurs SQL directement dans la page

Answer: (C)

Spiegazione

Cette option désactive l’émulation pour s’appuyer sur les vraies requêtes préparées du SGBD. Elle n’a pas pour rôle de gérer l’affichage des erreurs ni de convertir les résultats.

3. Quel est le rôle de bcrypt lors du stockage d’un mot de passe ?

A. Générer un identifiant de session aléatoire

B. Produire un hachage lent et résistant au brute force

C. Comparer directement deux mots de passe en clair

D. Chiffrer le mot de passe avec une clé réversible

Answer: (B)

Spiegazione

bcrypt est conçu pour hacher les mots de passe de manière lente afin de compliquer les attaques par force brute. Il ne s’agit pas d’un chiffrement réversible.

4. À quoi sert password_verify en PHP ?

A. À échappper du contenu HTML avant affichage

B. À échanger un cookie contre un jeton CSRF

C. À générer un hash à partir d’une adresse e-mail

D. À comparer un mot de passe saisi à un hash stocké

Answer: (D)

Spiegazione

password_verify compare la saisie en clair au hash stocké et indique si la correspondance est correcte. La génération du hash relève plutôt de password_hash.

5. Quel est l’objectif principal d’un Content-Security-Policy ?

A. Forcer l’usage d’un mot de passe long

B. Empêcher la suppression d’une session côté serveur

C. Limiter les origines autorisées pour les scripts et ressources

D. Bloquer toute requête SQL non préparée

Answer: (C)

Spiegazione

Content-Security-Policy définit quelles sources de scripts et de ressources sont autorisées, ce qui réduit l’impact d’une injection. Il ne gère pas les sessions ni les requêtes SQL.

6. Quel en-tête réduit le risque de clickjacking en contrôlant l’intégration dans un iframe ?

A. X-Content-Type-Options

B. Content-Security-Policy

C. Strict-Transport-Security

D. X-Frame-Options

Answer: (D)

Spiegazione

X-Frame-Options contrôle si une page peut être intégrée dans une iframe, ce qui limite les attaques par clickjacking. X-Content-Type-Options agit plutôt sur le type MIME.

7. Que doit faire une déconnexion complète côté serveur ?

A. Effacer uniquement l’historique du navigateur

B. Supprimer la session serveur et invalider les jetons ou cookies

C. Masquer seulement le lien de déconnexion dans l’interface

D. Modifier le mot de passe de l’utilisateur

Answer: (B)

Spiegazione

Une déconnexion complète implique de détruire la session côté serveur et d’invalider les éléments de réutilisation. Une simple suppression côté navigateur ne suffit pas.

8. Quel mécanisme permet de protéger une action sensible contre une requête forgée ?

A. Un hash bcrypt du mot de passe

B. Une requête SQL préparée

C. Un en-tête X-Frame-Options

D. Un token CSRF vérifié côté serveur

Answer: (D)

Spiegazione

Le token CSRF est associé à la requête et vérifié côté serveur pour bloquer les actions forgées. bcrypt, X-Frame-Options et les requêtes préparées répondent à d’autres besoins.

9. Que signifie le principe du moindre privilège ?

A. Chiffrer les permissions avant exécution

B. Retirer automatiquement les rôles inactifs

C. Donner tous les droits à un compte de service

D. Accorder uniquement les droits strictement nécessaires

Answer: (D)

Spiegazione

Le moindre privilège consiste à limiter chaque compte aux actions indispensables à sa tâche. Cela réduit l’impact d’une compromission.

10. Quelle différence décrit correctement GRANT et REVOKE ?

A. GRANT valide une transaction, REVOKE l’annule

B. GRANT chiffre des données, REVOKE les déchiffre

C. GRANT accorde des droits, REVOKE les retire

D. GRANT supprime des tables, REVOKE les crée

Answer: (C)

Spiegazione

GRANT sert à accorder explicitement des permissions, tandis que REVOKE sert à les retirer. Les autres propositions mélangent ces commandes avec d’autres mécanismes.

11. Qu’est-ce qu’un trigger MySQL ?

A. Une commande qui accorde des droits SQL

B. Un code exécuté automatiquement lors d’un événement sur une table

C. Une vue qui filtre les lignes visibles

D. Une fonction de hachage de mot de passe

Answer: (B)

Spiegazione

Un trigger MySQL exécute automatiquement du code lors d’un INSERT, UPDATE ou DELETE sur une table. Ce n’est ni une vue ni un mécanisme de droits.

12. Pourquoi une table de journalisation comme journal_actions est-elle utile ?

A. Pour stocker les mots de passe en clair

B. Pour remplacer les index de la base

C. Pour accélérer le rendu HTML côté client

D. Pour conserver des traces d’accès et d’actions afin de faciliter l’audit

Answer: (D)

Spiegazione

Une table dédiée permet de garder des traces exploitables pour la surveillance, l’enquête et la preuve. Elle n’a pas vocation à stocker des secrets en clair.

13. Que garantit l’option WITH CHECK OPTION sur une vue SQL ?

A. Les permissions SQL sont remplacées par la vue

B. Toute modification via la vue doit respecter le prédicat de la vue

C. Toute ligne de la table devient invisible

D. La vue devient automatiquement chiffrée

Answer: (B)

Spiegazione

WITH CHECK OPTION empêche qu’une ligne modifiée via la vue sorte du périmètre défini par le WHERE. Elle n’a pas pour effet de chiffrer ni de remplacer les droits SQL.

14. Que peut-il se passer sans WITH CHECK OPTION lors d’une mise à jour via une vue ?

A. La base refuse toute lecture sur cette table

B. La vue devient une procédure stockée

C. Le serveur efface automatiquement toutes les autres lignes

D. Une ligne peut rester en base tout en ne correspondant plus au filtre de la vue

Answer: (D)

Spiegazione

Sans cette option, une mise à jour peut faire sortir une ligne du filtre tout en la laissant présente dans la table. C’est précisément ce que WITH CHECK OPTION évite.

15. Quelle pratique évite l’injection SQL lors d’un accès avec un identifiant fourni par l’utilisateur ?

A. Concaténer directement la valeur dans le SQL

B. Afficher l’erreur complète dans le navigateur

C. Utiliser une requête préparée avec placeholders

D. Stocker la valeur dans un cookie

Answer: (C)

Spiegazione

Les requêtes préparées avec placeholders séparent le SQL des données et bloquent la concaténation dangereuse. La concaténation directe reste une cause classique d’injection.

16. Quel couple de paramètres est recommandé pour afficher une variable sans exposer d’XSS ?

A. GRANT avec REVOKE

B. htmlspecialchars avec ENT_QUOTES et UTF-8

C. password_hash avec coût 12

D. random_bytes avec bin2hex

Answer: (B)

Spiegazione

htmlspecialchars avec ENT_QUOTES et UTF-8 neutralise les caractères susceptibles de produire du code HTML ou JavaScript. Les autres options répondent à d’autres problèmes de sécurité.

17. Que désigne une transaction en SQL ?

A. Une vue filtrante qui limite les lignes visibles

B. Une commande qui modifie les droits d’un utilisateur

C. Un hachage de mot de passe résistant

D. Un bloc d’exécution regroupant plusieurs opérations, validé par COMMIT ou annulé par ROLLBACK

Answer: (D)

Spiegazione

Une transaction regroupe plusieurs opérations qui doivent être validées ensemble avec COMMIT ou annulées avec ROLLBACK. Ce n’est ni une vue ni un mécanisme de droits.

18. À quoi sert un EXIT HANDLER FOR SQLEXCEPTION ?

A. À rendre une page compatible avec les iframes

B. À générer un token CSRF aléatoire

C. À intercepter une erreur SQL et permettre d’annuler la transaction

D. À accorder des privilèges sur une table

Answer: (C)

Spiegazione

Ce gestionnaire s’exécute en cas d’exception SQL et peut déclencher un ROLLBACK pour annuler la transaction. Il n’a pas de rôle dans les jetons CSRF ou les privilèges.

19. Dans le référentiel OWASP Top 10, à quelle catégorie se rattache une faiblesse de contrôle d’accès ?

A. A01 Accès et moindre privilège

B. A09 Journalisation et monitoring

C. A03 Injection SQL et XSS

D. A02 Crypto et hachage

Answer: (A)

Spiegazione

Les problèmes de contrôle d’accès et l’absence de moindre privilège relèvent de A01. A03 concerne plutôt les injections et A09 les logs.

20. Quelle combinaison correspond le mieux à une protection contre une injection SQL ?

A. Utiliser PDO avec prepare puis execute

B. Créer un trigger sur chaque table

C. Ajouter X-Frame-Options à la réponse

D. Remplacer les mots de passe par bcrypt

Answer: (A)

Spiegazione

La protection contre l’injection SQL passe par des requêtes préparées avec paramètres séparés, puis execute. Les autres mesures répondent à d’autres risques de sécurité.