SQLインジェクション とは？

ログインフォームのパスワード欄に「' OR '1'='1」と入力すると、SQLが「SELECT * FROM users WHERE password = '' OR '1'='1'」に変化して、条件が常にtrueになり全ユーザーでログインできてしまう。入力値をそのままSQLに組み込むと、攻撃者が自由にSQLを操れてしまうんだ

SQL文と値を分離して渡す仕組みだよ。「SELECT * FROM users WHERE id = ?」のように?をプレースホルダーにして、値は別パラメータで渡す。値は常に「データ」として扱われるから、SQL命令として解釈されない。これが唯一の根本的対策。文字列連結でSQLを組み立てるのは絶対NGだよ

ORMの標準機能（Prisma、SQLAlchemy、ActiveRecord等）を使えばほぼ安全だよ。ORMが内部でプリペアドステートメントを生成してくれる。ただし、ORMの「生SQLを実行する」機能を使う場合は注意が必要。また、検索条件の動的組み立てなどで脆弱になるケースもあるよ

2011年のソニーPSN事件（7,700万件の個人情報流出）はSQLインジェクションが原因の一つ。2017年のEquifax事件（1.4億件の信用情報流出）もWebアプリの脆弱性が起点。日本でもECサイトからのクレジットカード情報流出事件が毎年のように発生している。基本的な対策を怠ると壊滅的な被害になるんだよ