ITパスポート 2026年 問95

SQLインジェクション対策で入力中の有害文字列を無害化する処理は何と呼ぶか【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを見つける：SQLインジェクション、利用者が入力、含まれる有害な文字列を無害な文字列に「置き換える」。
2. 各選択肢の意味を短く思い出す：
   • MACアドレスフィルタリング：ネットワーク機器で接続許可を制限する技術。
   • サニタイジング：入力を安全な文字列に変換する処理。
   • ストライピング：RAIDなどでデータを分散配置する用語（※問題文と合わない）。
   • ソーシャルエンジニアリング：人をだまして情報を取る手口。
3. 「置き換える」に合致する語を選ぶ：イ（サニタイジング）。
4. 配置された文脈（SQLインジェクション対策）とも照らして確定する。

選択肢別の誤答解説

• ア: MACアドレスフィルタリング
  ルーターやスイッチで機器の識別子（MACアドレス）によって接続可否を決める方法です。入力文字列の変換とは関係ありません。
• イ: サニタイジング
  正解です。入力中の危険な文字列を無害なものに置き換えます。例：HTMLで危険な「<」を「<」に変換する、SQLで問題になる引用符をエスケープするなど。
• ウ: ストライピング
  「ストライピング（striping）」は主にRAIDなどでデータを複数のディスクに分散して書き込むことを指します。一部の人が「stripping（ストリッピング）」＝文字を取り除くと混同することがありますが、問題文の「無害な文字列に置き換える」とは異なります。
• エ: ソーシャルエンジニアリング
  人間の心理を利用して情報を引き出す攻撃手法です。技術的な入力文字列の変換を指す言葉ではありません。

よくある誤解

1. サニタイジングとバリデーション（入力検証）は同じ？
   • 違います。バリデーションは「入力がルールに合っているか確認する」処理です。サニタイジングは「危険な部分を安全に変換する」処理です。両方行うのが望ましいです。
2. サニタイジングだけすれば安全？
   • 部分的に役立ちますが、万能ではありません。特にSQL対策では、サニタイジングよりもプリペアドステートメント（パラメータ化クエリ）を使う方が堅牢です。
3. エスケープ（escaping）とサニタイジングは同じ？
   • 似ていますが使い分けます。エスケープは特定の文字を前にバックスラッシュなどを付けて中立化する方法、サニタイジングは置き換えや除去など広い意味での無害化処理を指します。

補足コラム

• Python（sqlite3）での安全なSQL（パラメータ化）

import sqlite3
conn = sqlite3.connect(':memory:')
c = conn.cursor()
# ユーザ入力はプレースホルダで渡す（文字列を直接連結しない）
username = input("ユーザ名: ")
c.execute("SELECT * FROM users WHERE name = ?", (username,))

• PHPでHTML出力時に危険な記号を無害化（サニタイジング）

<?php
$user_input = $_GET['comment'] ?? '';
// HTMLとして出力する前に特殊文字を変換
echo htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8');
?>

FAQ