SQLを一切使っていないのにsqlインジェクションの可能性？

Question

タイトルの通りなのですが、
SQLを一切使っていないのにsqlインジェクションの可能性が出ることはありますか？
とくにこのコードでとかはないのですが、疑問に思い質問いたしました。

よろしくお願いいたします。

Answer 1

SQLを利用していないならSQLインジェクションは起こりません
ただユーザーから受け取ったデータをそのままWEB上に表示すると
XSSなどの不正処理が発生することがあるので必ずエスケープが必要です。

htmlspecialchars()

また、urlに割り当てるときはそのルールにあわせたエンコードが必要です

urlencode()

当然バイナリデータなどWEB上に表示してはいけないものもあるので
どうしても投入した場合はbase64を利用したりします

base64_encode()

その他様々な用途に合わせて各種エンコード処理が必要になりますが
SQLインジェクション対策のようなエミュレートではないRDBの機能を利用した堅牢な対策
とはやや用途が違います

Answer 2

質問の意味が分かりきらないのですが…
SQLインジェクションなので、SQLを一切使っていなければSQLインジェクションは起こりえません。

但し、他にもOSコマンドインジェクションやオブジェクトインジェクション等があるので、
SQLを使っていない=脆弱性対策不要とはならないので、注意した方が良いと思います。

Answer 3

SQLを一切使っていないのにsqlインジェクションの可能性が出ることはありますか？

「sqlインジェクションの可能性が出る」というのが、脆弱性診断ツールなどでこう表示されるという意味であれば、十分ありえると思います。この場合は、誤検知ということになりますね。

Comments

[MeB]

まさにそのことを想定していました。
ありがとうございます。