SQLインジェクション対策

Question

お世話になります。
現在参考書を見ながらphpでMYSQLの勉強をしています。SQLインジェクションについて勉強しているとよくわからない文があったので質問します。

[まえがき]

$sql = "insert into diary values(null, '日付', '".$_POST['title']."', '".$_POST['body']. "楽しかった')";

とあります
そこでbodyの部分に');select.......と書き込むとデータベースの中身を覗かれる危険性があると書いています。
これらの対処法としてaddslashes関数を用いると良いと書いてありますがなぜこの関数を使えばよいかがよくわかりません。

[質問]
addslashes関数を用いると'や"の前に\が入ることはわかります。これは先程の');select.......の部分の'に当たる箇所に\を追加することで'でかこらせないようにすることで第三者の入力の対策としているのでしょうか。

また上記に例として記載した内容についても質問があります。
'".$_POST['title']."'とありますがこれでは一番外側に'があるので中身の変数などは展開せずに実際読み込まれるときは.$_POST['title'].となるようように思います。
実際に$_POSTではなく変数でこの動きを再現してみましたが私の予想したとおりに.$_POST['title'].と表示されました。
これは参考書のミスか私の考えが間違っているのかわかりません。

どなたかご教授お願いします。

Comments

[退会済みユーザー]

これどうみても プレースホルダーが使えない時代 (mysql_*) 系の参考書なので新書を買うべきですね

[kei344]

回答が付いた質問の編集は慎重に行ってください。回答でタイプミスについての指摘がある場合は「直したこと」がわかるようにしてください。

Answer 1

参考書が古すぎると思います。

セキュリティ上の理由で、データベースパラメータをエスケープするのに、addslashes によるエスケープは推奨されておりません。
addslashes

また、$sqlは記述のとおりだとsyntax errorが発生します。
" "楽しかった')の箇所に"が一つ多いです。

セキュリティの学習は、古い php の学習書では役に立ちません。
評判を見ながら、新し目の学習書を探すことをオススメします。

Comments

[sponge]

お返事ありがとうございます。
また、$sqlは記述のとおりだとsyntax errorが発生します。
" "楽しかった')の箇所に"が一つ多いです。
については , が抜けていただけです。この場合文字はどのように展開するか分かりますでしょうか。

[退会済みユーザー]

> , が抜けていただけです。
そうではないです。
ちゃんと確かめてからコメントしてください。

あと、勘違いしていますが、一番外側は $sql = " の " です。

[sponge]

まず初めに雑な編集ですみません。以後改めます。

言いにくいのですが私の質問に答えてもらってもよろしでしょうか。
確かに古い参考書を見ているので新しい参考書を読んだほうが良いのはわかりました。

私は２つ質問しています。
１つはaddslashesについての質問。２つ目は'".$_POST['title']."'の箇所はどのように展開されるかを聞いています。

te2ji様のお返事とコメントはわかりましたが、質問の本質に答えてくださるとありがたいです。

どうかよろしくお願いします。

[退会済みユーザー]

質問の本質は、SQLインジェクション対策をしたいと捉えていたのですが、違うのですね＾＾；

１つはaddslashesについての質問。
addslashes は第三者の入力の対策としては問題が起きる原因となりえる関数です。対策になりません。（リンク先参照）

２つ目は'".$_POST['title']."'の箇所はどのように展開されるかを聞いています。
キチンと試すと良いです。

<?php
$_POST['title'] = 'title';
$_POST['body'] = 'body';
$sql = "insert into diary values(null, '日付', '".$_POST['title']."', '".$_POST['body']. "楽しかった')";
echo $sql;

// insert into diary values(null, '日付', 'title', 'body楽しかった')

.$_POST['title'].とは表示されません。

[sponge]

te2ji様何度もお返事ありがとうございます。
コードに関しては私の解釈の違いから来る思い込みでした。質問前に試したとありますが、これは単に間違っていたようです。
ご迷惑をおかけしました。どうもありがとうございました。

[退会済みユーザー]

学習書を切り替えるのは早めのほうがイイですよ。
php の古い資料は、セキュリティ的に害悪でしかないので。