ＳＱＬインジェクション対策（クオーテーション関連

Question

PHP Version 5.4.7の環境にて。

SQLite3::escapeStringを使って、
ＳＱＬインジェクション対策をしようと考えています。

HTMLの<form>からPOSTで値を受け取り、
その値をＳＱＬ文に入れ込み、
そのクエリ（※ちなみに、INSERTのみです。）をSQLite3のＤＢに対して行う、

なんてことをする際の、
ＳＱＬインジェクション対策として、お考え下さい。

ＰＯＳＴで受け取る値に入っていたら危険なものとして、
「シングルクオーテーション」が、まず、挙げられるかと思います。
「'」　←これです。

さて、「"」　←こちらはダブルクオーテーションですが、
こちらのダブルの方はエスケープする必要は無いのでしょうか？

（例）※wikipediaより

SELECT * FROM users WHERE name = '（入力値）';

SELECT * FROM users WHERE name = 't' OR 't' = 't';

→　このSQL文では条件が常に真となるため、
nameカラムの値にかかわらず、全レコードが選択される。

→　ということで、入力値に、
エスケープされていない「シングルクオーテーション」をそのまま使うのはＮＧ。

ここまではＯＫです。

では、次に、ダブルクオーテーション版で、

SELECT * FROM users WHERE name = "（入力値）";

SELECT * FROM users WHERE name = "t" OR "t" = "t";

こちらはどうなのでしょうか？

（シングルをダブルに変えただけですが。）

----------

ちなみに、
SQLite3::escapeString　にて、

（１）
$var = "Let's";　//←シングルクオーテーション
$db = new SQLite3(':memory:');
$escaped_var = $db->escapeString($var);

echo $escaped_var;  //Let''s と表示される　（「 ' 」が１つ追加される。）

（２）
$var = 'Let"s';　//←ダブルクオーテーション
$db = new SQLite3(':memory:');
$escaped_var = $db->escapeString($var);

echo $escaped_var;  //Let"s と表示される　（何も追加されず。）

というように、
シングルクオーテーションはエスケープされるが、
ダブルクオーテーションの方ではエスケープされませんでした。

これは、つまり、
ダブルクオーテーションの方は危険視されていない、
ということだと思いますが、
でも、本当にダブルクオーテーションをエスケープせずに、
そのまま、ＳＱＬ文につっこんでも大丈夫なのでしょうか？

shimix · Accepted Answer

SQL文の中で「文字列」を単引用符で括っているなら、その中にある二重引用符は「単なる文字」としてしか認識されません。なのでエスケープする必要はありません。逆にSQL文で文字列を二重引用符で括って渡しているなら二重引用符のエスケープは必須です。

「適切なエスケープをする」というのは、そういうことです。

結論としては『プレースホルダを使って』文字列を括る引用符も含めてシステム（ドライバ）に任せた方がいいということになります。

shimix · Answer

＃あ、先に書かれた（汗

thx.>agunuzさん

少なくともプリペアドステートメントが使える関数・クラスを利用しているのであれば「内容の保証がない」データはプリペアドステートメントで扱うべきですね。そうすれば括るのが単引用符か二重引用符かなんて気にする必要はありません（気にしなくても適切に処理されます）。もちろんバイナリデータでも。です。

agunuz · Answer

>「そのまま」ということは、適切にエスケープすることなく、
>という意味でしょうか。
>
>つまり、マズイ　という意味？

あ、いえ「普通の文字列と同じように」扱えるということです。たとえばphpスクリプトでは、文字列型の変数の内容がテキスト（asiiなのか日本語なのかも不問）であってもバイナリであっても同じように扱ってかまいません。

当然ですが『適切にエスケープする』ことが前提です。

shimix · Answer

>ちなみに、その『プレースホルダを使う場合』においては、
>エスケープ処理は、どのように、なされているのでしょうか？

基本的には文字列は単引用符で括りますので単引用符がエスケープ処理されることになります（各DBのドライバで微妙に違う部分もあります）。

何故データベースによって違いがあるかといえば、それはエスケープした結果を各データベースがどう扱うかが異なるからです。不要な部分までエスケープした結果、正しく格納できなくなったら困りますので。mysql_real_escape_stringなどは両方ともエスケープしますが、これはその状態で渡された文字列をMySQLがキチンと戻して格納するからです。

http://www.php.net/manual/ja/function.mysql-real-escape-string.php

データベース関係のエスケープ処理の多くは「文字列型は単引用符で括る」ことを前提に書かれています。SQLite3のescapeに関する下記のノートなどを読むと一目瞭然でしょう。

http://www.php.net/manual/ja/sqlite3.escapestring.php

またBlobなどのバイナリデータもそのまま扱います（プレースホルダを使う・使わないにかかわらず、これが出来ないデータベースの方が少数派だと思います）。

muuming2001 · Answer

SELECT * FROM users WHERE name = "（入力値）";

DBによっても違うかもしれないけど、そもそも上記SQLは通るの？

http://www.dbonline.jp/sqlite/type/index4.html

ＳＱＬインジェクション対策（クオーテーション関連

SQL文の中で「文字列」を単引用符で括っているなら、その中にある二重引用符は「単なる文字」としてしか認識されません。

＃あ、先に書かれた（汗

>「そのまま」ということは、適切にエスケープすることなく、

>ちなみに、その『プレースホルダを使う場合』においては、

SELECT * FROM users WHERE name = "（入力値）";

似たような質問が見つかりました

関連するカテゴリからQ&Aを探す

デイリーランキングこのカテゴリの人気デイリーQ&Aランキング

マンスリーランキングこのカテゴリの人気マンスリーQ&Aランキング