SQLインジェクション対策|プレースホルダ・エスケープの違いと限界

結論: SQLインジェクションを防ぐ**根本的な対策は、プレースホルダ(パラメータ化クエリ)**です。エスケープや入力チェックは、補助にすぎず、それだけに頼ると、漏れが出やすくなります。そのうえで、データベースの権限を絞るなど、被害を小さくする対策も、重ねます。

SQLインジェクションの仕組みや被害は、SQLインジェクションとはで解説しています。この記事は、対策の具体的な方法に絞って解説します。

対策の優先順位

対策1:プレースホルダを使う

危険な書き方

入力された値を、文字列として連結して、SQL文を作る書き方です。

query = "SELECT * FROM users WHERE name = '" + name + "'"
cursor.execute(query)

この書き方では、入力値の中に、SQLとして意味を持つ文字が含まれると、「データ」が「命令」として解釈されてしまいます。

たとえば、name に ' OR '1'='1 という文字列が入ると、条件が常に真になり、意図しない情報が取り出されるおそれがあります。

安全な書き方

SQLの文と、値を、別々に渡します。

cursor.execute("SELECT * FROM users WHERE name = ?", (name,))

? の部分が、プレースホルダです。値は、データベース側で、あくまで「値」として扱われるため、入力に特殊な文字が含まれていても、命令として解釈されません。

プレースホルダの書き方(? や %s など)は、使うデータベースや、ライブラリによって異なります。公式のドキュメントで確認してください。Pythonの基本は、Pythonとはをご覧ください。

対策2:ORMを正しく使う

ORM(オーム)は、プログラムの言葉で、データベースを操作できる仕組みです。通常の使い方では、内部でプレースホルダが使われます。

注意: ORMでも、生のSQL文を、文字列で連結して実行する機能を使うと、危険です。ORMの標準的な書き方を、守りましょう。ORMでよく起こる、性能の問題については、N+1問題とはで解説しています。

対策3:プレースホルダが使えない場所

プレースホルダで渡せるのは、基本的に「値」です。次のような部分には、使えません。

• テーブル名
• 列名
• 並び順の指定(ASC・DESC)

許可リストで限定する

使ってよい値を、あらかじめ決めておき、入力がその中にある時だけ、使います。

allowed = {"name", "created_at"}
if sort_key not in allowed:
    sort_key = "created_at"
query = f"SELECT * FROM users ORDER BY {sort_key}"

入力された文字列を、そのまま使わず、許可した値だけを、SQLに組み込むのが、ポイントです。

対策4:エスケープの限界

エスケープは、SQLで意味を持つ特殊な文字を、無害な形に変換する処理です。

• データベースごとに、必要な処理が異なる
• 文字コードの扱いなどで、漏れが出やすい
• 処理を忘れた1か所が、弱点になる

そのため、エスケープは、プレースホルダが使えない場合の補助と考え、主役にはしません。

対策5:入力チェック(サニタイズ)の効果と限界

効果がある場面

• 数値のはずの入力が、数字だけで構成されているか確認する
• 日付や、決まった形式の入力を、形式で検証する

こうした型や形式のチェックは、不正な入力を、早い段階で除外できます。

限界

• 「怪しい文字を、取り除く」方式(ブラックリスト)は、想定外の入力で、すり抜けられやすい
• 氏名やコメントのように、自由な文字列は、記号を含むことが正当
• チェックの漏れが、そのまま、弱点になる

入力チェックは、他の対策と組み合わせる、補助的な防御です。

対策6:被害を小さくする

プレースホルダを使っていても、設計の漏れに備えて、被害を小さくする対策を、重ねます。

• データベースの権限を、最小限にする:アプリが使うアカウントに、不要な権限(テーブルの削除など)を与えない。考え方は、最小権限の原則とはで解説しています
• 詳細なエラーを、画面に出さない:データベースのエラーの内容は、攻撃のヒントになる。ログには残すが、利用者には、一般的なメッセージだけを見せる
• 機密情報を、適切に保護する:パスワードなどは、ハッシュ化して保存する。ハッシュ化とはをご覧ください
• WAFなどで、不正な通信を検知する:補助的な防御として、有効な場合がある
• 診断とログの監視:脆弱性診断を行い、不審なアクセスを、早く見つける

AIが書いたコードを使う時

AIが生成したコードには、手軽さを優先して、文字列を連結したSQLを書く例が、混ざることがあります。生成されたコードは、次を確認してから、使ってください。

• プレースホルダ(または、ORMの標準機能)が使われているか
• 入力値が、SQL文に、直接連結されていないか
• データベースの権限が、広すぎないか

振り返ると

SQLインジェクション対策の基本は、プレースホルダを使い、SQLの文と値を分けて渡すことです。エスケープや入力チェックは補助、データベースの権限を絞る対策は被害の軽減、と役割を分けて、重ねることで、守りが強くなります。

関連記事:SQLとは

関連記事:PHPとは

関連記事:パスワードのハッシュ化とは?

あわせて読みたい:WAFとは、XSSとは