Как проверить возможность sql инъекции?

Проверка руками Начните с самого простого: подставьте в поле поиска одинарную кавычку, например значение вида чай'. Если после этого сайт выдаёт ошибку СУБД или белый экран вместо обычного результата поиска, это уже сигнал, что ввод пользователя подставляется в запрос напрямую, без экранирования.

Типовые пробные значения Дальше можно попробовать что-то вроде ' OR '1'='1 в поле логина или поиска: если это меняет поведение запроса, например выдаёт все записи вместо ожидаемых по условию, значит запрос собирается конкатенацией строк. Ещё один вариант проверки: ввести заведомо некорректный SQL-фрагмент и посмотреть текст ошибки. Если приложение показывает пользователю сырой текст ошибки СУБД с частью запроса, это тоже проблема сама по себе, отдельно от инъекции.

Что посмотреть в коде Откройте код формы поиска и посмотрите, как собирается запрос. Если строка запроса склеивается через конкатенацию переменных из формы, это дыра почти наверняка. Если используются подготовленные выражения, например PDO с параметрами через плейсхолдеры, это уже правильный подход, и на защите можно смело показать этот кусок кода как доказательство.

Что сказать на защите Стоит явно проговорить, что вы используете параметризованные запросы, а не собираете SQL из строк, и показать хотя бы один такой запрос из проекта. Это закрывает вопрос увереннее, чем рассказ о ручном тестировании кавычками.

Технически всё сводится к одному вопросу: собирается ли запрос конкатенацией строк с пользовательским вводом или через параметризованные выражения. Первое почти всегда дыра, второе безопасно по конструкции. Быстрая проверка — одинарная кавычка в поле ввода: ошибка СУБД в ответе сайта означает, что ввод попал прямо в текст запроса без экранирования и подготовленных параметров.