SQLインジェクション とは？

外部入力をSQL文へ直接つなぐと、検索する値のはずがSQL命令の一部として解釈されることがあるんだ。その結果、検索条件を変えられたり、データを不正に読み取られたりする。入力欄だけでなく、アプリが受け取るパラメータにも注意が必要だよ。

「SELECT * FROM users WHERE id = ?」のようにSQL文を決め、値を別のパラメータとして渡す仕組みだよ。正しく値を束縛すれば、その値はSQL命令として解釈されない。ただし表名や列名など、値のパラメータにできない部分は、許可した候補から選ぶ設計が必要なんだ。

使っているだけで安全とは限らないよ。ORMでも文字列を直接つないで生SQLや問い合わせを作れば問題になる。安全なパラメータ指定を使うことが大切。ストアドプロシージャも、内部で危険な動的SQLを組み立てれば脆弱になるよ。

アプリからDBへ接続するアカウントの権限を、必要な表と操作に絞るんだ。読み取りだけ必要なら更新や管理者の権限は与えない。入力の形式も検査するけれど、検査を通ったからSQLへ直接つないで安全とは限らないよ。