A03: SQL ইনজেকশন

# ভুয়া, ইন-মেমরি "ইউজার ডেটাবেস"
users = [
    {"username": "admin", "password": "S3cretPass!42"},
    {"username": "hasan", "password": "hasan_pw_99"},
]

def build_where_clause(username, password):
    # ভালনারেবল অ্যাপ ঠিক এভাবেই ইউজার ইনপুট কোয়েরিতে জোড়া লাগায়
    return f"username='{username}' AND password='{password}'"

def strip_sql_comment(expr):
    # বাস্তব SQL ইঞ্জিনে "--" মানে লাইনের বাকি অংশ কমেন্ট -- attacker এটি দিয়ে
    # কোয়েরির বাকি অংশ (যেমন password চেক) সম্পূর্ণ বাতিল করে দিতে পারে
    idx = expr.find("--")
    return expr[:idx] if idx != -1 else expr

def _split_outside_quotes(expr, token):
    # কোটেড স্ট্রিং-এর ভেতরের অংশ উপেক্ষা করে, শুধু বাইরের token (" OR "/" AND ") ধরে স্প্লিট করে
    parts, current, in_quote, i = [], "", False, 0
    while i < len(expr):
        ch = expr[i]
        if ch == "'":
            in_quote = not in_quote
            current += ch
            i += 1
            continue
        if not in_quote and expr[i:i + len(token)] == token:
            parts.append(current)
            current = ""
            i += len(token)
            continue
        current += ch
        i += 1
    parts.append(current)
    return parts

def _resolve(token, row):
    token = token.strip()
    if token.startswith("'") and token.endswith("'"):
        return token[1:-1]        # কোটেড লিটারেল ভ্যালু, যেমন '1'
    return row.get(token)         # কলাম রেফারেন্স -> আসল রো ভ্যালু

def _eval_comparison(cmp_str, row):
    left, right = cmp_str.split("=", 1)
    return _resolve(left, row) == _resolve(right, row)

def eval_where(expr, row):
    # SQL-এর OR/AND প্রায়োরিটি সিমুলেট করে: প্রতিটি OR-অংশ নিজের ভেতরে AND দিয়ে যাচাই হয়
    for or_part in _split_outside_quotes(expr, " OR "):
        comparisons = _split_outside_quotes(or_part, " AND ")
        if all(_eval_comparison(c, row) for c in comparisons):
            return True
    return False

def login_insecure(username, password, users):
    raw_query = strip_sql_comment(build_where_clause(username, password))
    for row in users:
        if eval_where(raw_query, row):
            return row
    return None

def login_safe(username, password, users):
    # প্যারামিটারাইজড কোয়েরির সিমুলেশন -- ইনপুট কখনো কোয়েরি-স্ট্রাকচারে জোড়া লাগে না,
    # শুধু plain ডেটা হিসেবে তুলনা করা হয় -- তাই কোনো SQL সিনট্যাক্স হিসেবে ব্যাখ্যা হয় না
    for row in users:
        if row["username"] == username and row["password"] == password:
            return row
    return None

malicious_username = "' OR '1'='1' -- "
malicious_password = "যেকোনো-কিছু (আক্রমণকারী পাসওয়ার্ড জানে না)"

print("=== ইনসিকিউর লগইন (স্ট্রিং কনক্যাটেনেশন) ===")
print("ইনপুট username:", repr(malicious_username))
result_insecure = login_insecure(malicious_username, malicious_password, users)
print("বাইপাস সফল হলো:", result_insecure is not None)
print("লগইন হয়ে গেল এই অ্যাকাউন্ট হিসেবে:", result_insecure)

print()
print("=== সিকিউর লগইন (প্যারামিটারাইজড-স্টাইল তুলনা) ===")
result_safe = login_safe(malicious_username, malicious_password, users)
print("বাইপাস সফল হলো:", result_safe is not None)
print("ফলাফল:", result_safe, " <- সঠিকভাবে প্রত্যাখ্যাত, কোনো অ্যাকাউন্টেই লগইন হয়নি")