Segurança em Swift: Injeções SQL e XSS — como proteger o código

Swift na linha de frente: por que a segurança não é uma opção, mas uma necessidade

Você programa em Swift, se orgulha do desempenho e da beleza do código. Mas já pensou o quão vulnerável sua aplicação é a ataques? Injeções SQL e XSS (Cross-Site Scripting) não são apenas histórias assustadoras de livros didáticos. São ameaças reais que podem custar seus dados de usuários, reputação e dinheiro.

Neste artigo, vamos abordar como proteger sua aplicação Swift (seja um cliente iOS ou um backend em Vapor) contra os dois tipos de ataques mais perigosos. Sem enrolação — apenas exemplos práticos, soluções prontas e código funcional. Vamos lá!

Injeções SQL em Swift: como hackers "enganam" o banco de dados

Imagine: um usuário digita em um campo de texto '; DROP TABLE Users; --. Se você inserir diretamente essa string em uma consulta SQL, o banco de dados executará o comando de exclusão. Clássico do gênero.

Em Swift, essa vulnerabilidade é mais comum em frameworks de servidor (Vapor, Kitura) ou ao trabalhar com Core Data e SQLite através de wrappers inseguros.

Exemplo perigoso: como NÃO fazer

import SQLite\n\nlet username = userInput.text // "admin' OR '1'='1"\nlet query = "SELECT * FROM users WHERE name = '\\(username)'"\ntry db.execute(query) // AMEAÇA! Consulta comprometida\n

Este código é um convite ao desastre. Um invasor pode obter acesso a quaisquer dados ou destruir a tabela.

Abordagem correta: consultas parametrizadas

Regra de ouro: nunca insira dados do usuário diretamente em uma string de consulta. Use parametrização.

import SQLite\n\nlet db = try Connection("path/to/db.sqlite3")\nlet users = Table("users")\nlet name = Expression<String>("name")\n\nlet username = userInput.text // "admin' OR '1'='1"\nlet query = users.filter(name == username) // SEGURO\nlet result = try db.prepare(query)\n

A biblioteca SQLite.swift escapa automaticamente os caracteres especiais. Para Vapor com Fluent, use o modelo e filtros:

import Fluent\nimport Vapor\n\nstruct UserController: RouteCollection {\n    func login(req: Request) async throws -> String {\n        let input = try req.content.decode(LoginRequest.self)\n        // Fluent parametriza automaticamente a consulta\n        let user = try await User.query(on: req.db)\n            .filter(\\.$name == input.username)\n            .first()\n        return user?.name ?? "Not found"\n    }\n}\n

Importante: mesmo se você usar SQL raw no Vapor, aplique SQLBind para vincular os parâmetros.

ORM e Core Data: a ilusão de segurança

Muitos desenvolvedores acreditam que Core Data ou Fluent protegem automaticamente contra injeções. Isso é verdade — se você não usar NSExpression com formatação de strings ou SQL raw. Mas lembre-se: qualquer NSPredicate construído através de interpolação de strings é um risco.

// PERIGOSO\nlet predicate = NSPredicate(format: "name == %@", userInput) // Seguro?\n// NÃO! Se userInput contiver '%', pode ocorrer injeção através de substituição.\n

Sempre use %@ com variáveis, nunca %K com chaves, e jamais insira strings através de \\().

Ataques XSS em Swift: quando o invasor injeta JavaScript

XSS é um ataque onde um script malicioso é executado no navegador do usuário. Para aplicações iOS, XSS é relevante ao usar WKWebView para exibir conteúdo HTML (por exemplo, em feeds de notícias ou chats).

Cenário real: chat com formatação HTML

Um usuário escreve: Olá! <script>alert('XSS')</script>. Se você exibir essa mensagem em uma WebView sem tratamento — o script será executado.

// PERIGOSO\nlet html = "<div>\\(message.text)</div>"\nwebView.loadHTMLString(html, baseURL: nil)\n

Blogs

Principais erros de desenvolvedores C++ iniciantes: como evitá-los

Ordenação de coleções por vários campos em Kotlin: 5 erros fatais

Por que um contador de 64 bits em um loop quebra o desempenho do _mm_popcnt_u64

Book Recommendations

Python Puro. Sutilezas de Programação para Profissionais

Segurança de Aplicações Java: das Vulnerabilidades à Proteção

Segurança de aplicações Go (Golang)

A Arte do Teste Unitário com PHP

Leia também

Algoritmos e estruturas de dados em C++ para iniciantes: guia completo C# Roadmap 2025: O que estudar e em qual ordem para se tornar profissional Implantação de Rust no Kubernetes: guia básico para desenvolvedores Melhores IDEs e ferramentas para desenvolvimento Rust: guia completo 2025 Redirecionamento em PHP: 5 erros fatais e como evitá-los