基本情報技術者 2018年 春期 午前（科目A） 問41

SQLインジェクション対策【午前解説】

正解の理由

解法ステップ

1. 問題文から攻撃種類を特定する（ここではSQLインジェクション）。
2. 各選択肢がどの攻撃・脅威に効くかを分類する（XSS、ディレクトリトラバーサル、入力検査など）。
3. 「SQLの解釈」を直接変える選択肢を選ぶ。エスケープ／パラメータ化が該当する。
4. 実運用面ではプリペアドステートメントやORMのパラメータ機能を優先し、手動の文字列連結は避ける。

選択肢別の誤答解説

• ア（正解）: 入力をSQLの特別文字として解釈されないようにする、すなわちエスケープやプレースホルダによる対策で直接的に注入を防げます。
• イ: HTMLタグを無効化する対策はクロスサイトスクリプティング（XSS）向けで、サーバ側でのSQL実行の解釈を変えるわけではありません。
• ウ: "../" の拒否はファイルパス操作に対する対策（ディレクトリトラバーサル）で、SQL文の注入対策とは用途が異なります。
• エ: 入力長の制限は攻撃の送り付け量を抑える一助にはなりますが、短い入力でも有効なペイロードは存在するため根本対策にはなりません。

よくある誤解

• HTMLタグの無効化（イ）はXSS対策であり、SQLインジェクション防止には直接関係がありません。
• 上位ディレクトリ文字列の拒否（ウ）はディレクトリトラバーサル対策であり、SQL文の解釈とは別問題です。
• 長さ制限（エ）はバッファやDoSの軽減には役立ちますが、SQL構文そのものの注入を防ぐ手段にはなりません。

補足コラム

• パラメータ化（プレースホルダ）／プリペアドステートメントを使う（例：? や %s、$1）
• ORマッパー（ORM）の安全なクエリ機能を利用する
• 必要に応じてホワイトリストによる入力検証（列挙された値のみ許可）を併用する
• 最小権限のDBユーザ、ログおよび監査の実装
  下はPythonでの簡単な例です（sqlite3）。プレースホルダを使って変数を渡せば安全です。

import sqlite3

conn = sqlite3.connect('example.db')
cur = conn.cursor()

# 悪い例（文字列連結は危険）
# sql = "SELECT * FROM users WHERE name = '" + user_input + "'"

# 良い例（パラメータ化）
sql = "SELECT * FROM users WHERE name = ?"
cur.execute(sql, (user_input,))
rows = cur.fetchall()

FAQ