基本情報技術者 2013年 春期 午前（科目A） 問40

SQLインジェクション対策【午前解説】

正解の理由

解法ステップ

1. 問題文から攻撃種類を特定する（「SQLインジェクション」）。
2. 各選択肢がその攻撃に対して直接的な防御策かを検討する（SQL構文の解釈を止めるか）。
3. SQLインジェクションを防ぐ代表的手法（プレースホルダ、プリペアドステートメント、エスケープ）に当てはまる選択肢を選ぶ。
4. 残りの選択肢（HTMLエスケープ、パス制限、長さ制限）は別の攻撃や補助対策であることを理由に排除する。

選択肢別の誤答解説

• ア: 正解。入力がSQLの特別文字として解釈されないようにし、プレースホルダ等でデータと構文を分離する対策を指します。
• イ: HTMLタグを別の文字列に置換するのはXSS（クロスサイトスクリプティング）対策であり、SQLインジェクションの防止には直接寄与しません。用途が異なります。
• ウ: 上位ディレクトリ参照（../）の拒否はディレクトリトラバーサル対策であり、SQL文の注入を防ぐ方法ではありません。
• エ: 入力長の制限はバッファオーバーフローや極端な長入力の抑制に有効な場合がありますが、短いペイロードでもSQL注入は可能なため根本対策になりません。

よくある誤解

• HTMLエスケープとSQLエスケープを混同する：HTMLエスケープはXSS対策であり、SQLインジェクション防止には直接効果がありません。
• 長さ制限で防げると考える：入力長を制限しても悪意ある短いペイロードで注入できる場合があり根本対策になりません。
• エスケープだけで完全に安心と思う：データベースや文字エンコーディング次第で抜け穴が生じるため、パラメタライズドクエリを優先すべきです。

補足コラム

import sqlite3

conn = sqlite3.connect("example.db")
cur = conn.cursor()
# 危険な文字列連結はしない
user_input = "some_user"
cur.execute("SELECT * FROM users WHERE username = ?", (user_input,))
rows = cur.fetchall()
conn.close()

$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");
$stmt->execute([':username' => $user_input]);
$rows = $stmt->fetchAll();

FAQ