SQLインジェクション対策

解決済

質問者：unko347
質問日時：2013/06/07 07:00
回答数：1件

Webアプリにて入力フォームからのSQLインジェクション対策を行いたいと思っているのですが
その１つとしてpreparedstatement　SQLを使用することを考えています。
これを使用すればシングルクォーテーションを使った
悪意のあるSQL文を挿入されることが防げると思うのですが他に何か考慮することって
あるのでしょうか。

通報する

この質問への回答は締め切られました。

質問の本文を隠す

回答 (1件)

ベストアンサー優先
最新から表示
回答順に表示

No.1ベストアンサー

回答者： htokumaru
回答日時：2013/06/07 23:44

SQL文を固定にしてパラメータを全てプレースホルダにして、バインドにより指定するようにすれば、SQLインジェクションが入る余地はありません。

ただし、MySQLを使っている場合に、見かけ上プレースホルダを使っていても、真のprepared statement でない呼び出し（動的プレースホルダ）もあり、ライブラリに脆弱性があったり、呼び出し方を間違っていると、SQLインジェクション脆弱性になる場合があります。詳しくは、参照URLの「安全なSQLの呼び出し方」をお読み下さい。

参考URL：http://www.ipa.go.jp/security/vuln/websecurity.h …