sqlのプレースホルダーで、既出値に対して、加算する場合の書き方について。

Question

下記、sqlで無事にsqlインジェクションに対して対策できているかどうか？

UPDATE order_items
SET quantity=quantity+:new_quantity
WHERE order_id=:order_id

既にある値に対して加算する場合
上記の様な、プレースホルダーの使い方で問題ないですよね？

※追記
mysqlの
バーション5.7.23

Comments

[m.ts10806]

質問作って投稿して回答待ってる間に動かせばわかることでは。 ひとまずDBの種類とバージョンは追記いただきたいところです。

[退会済みユーザー]

ためしてみればいいんじゃね

[m.ts10806]

あと該当のPHPソースもご提示ください。

[m.ts10806]

あとプレースホルダにする前に何かしら固定値でSQL作って試して想定通りの動作になることを確認していますか？

[退会済みユーザー]

元に戻せるようデータベースのバックアップを行ってから実行すれば、自ずと結果が分かるのですけど、動かす環境がないのでしょうか？

[fjaiofjawiefjaw]

DBの種類はmysql,　バージョンは調べて後で追記しておきます。質問の文章が悪かったです。想定通りに動きはしていますが、sqlインジェクション的にどうかなと思い質問させて頂きました。

[fjaiofjawiefjaw]

セキュリティの観点でどうかなと思ったのですが、コメント頂いているように、自身で調べれば分かることなので、調べてみたいと思います。調べて分かり次第、自己解決といたします。

[m.ts10806]

前提、背景は具体的に書かないと「確認のため」だけでは質問者さん以外誰も知りませんよ。

[fjaiofjawiefjaw]

失礼いたしました。質問の配慮が足りませんでした。

Answer 1

sqlインジェクション参考サイト

上記サイトを参考にさせて頂き、
自身でsqlインジェクションを行ってみました。
プレースホルダーを使用することによって、エラーが発生しましたので
ひとまず自己解決と致します。

気づいた点

• filter_inputで$_POSTを得ると自動的にシングルクォーテーションなどがエスケープされるのでこれによっても防げることが分かりました。
• そもそもプレースホルダーを使用した方が記述がラクになると思いました。そうでないと、実行するsql文に$_POSTの値を文字列連結しなければならないため。

記述ラク

$sql_update = "UPDATE items
SET stock=stock+:add_stock
WHERE name=:name";

記述大変

$sql_update = "UPDATE items
SET stock=stock+" . $_POST['item_update_stock'] . "
WHERE name='" . $_POST['item_name'] . "'";

以上により、
filter_inputとプレースホルダーは、
sqlインジェクションを防げるし、書きやすい。

コメント欄で、皆様に、ご助言頂いたお陰で自力で調べることが出来ました。ありがとうございました。