SQL自由入力の検索機能での更新禁止を、ユーザ作成せず実現したい

Question

初めての質問失礼いたします。

データベースの検索サイトを作っているのですが、
そこで、SELECT文を自由に入力できる機能をつけたいです。
但し、SELECT以外のUPDATE等は禁止したいです。
レンタルサーバーの都合上、ユーザーを分けて権限を付与することはできません。

SQL文の先頭が"SELECT"だと、その中にいかなる複雑なSQLを書いても、
データベースを更新されることはない、という認識で合っていますか？
SQL文の先頭が"SELECT"であるかどうかで判断し、"SELECT"でなければエラーにしようと
考えているのですが、これで十分でしょうか？

追記：
書き忘れてました。MySQLです。

追記２（たびたび失礼します）：
最初の１文のみ(セミコロンが現れるまで)の実行だと、どうでしょうか？

Answer 1

SQL文の先頭が"SELECT"だと、その中にいかなる複雑なSQLを書いても、

データベースを更新されることはない、という認識で合っていますか？

ここから外れるごく簡単な例として、複文があります。SELECT ...; UPDATE ...のようにして、2つのSQL文を実行できてしまいます。また、PostgerSQLではSELECT INTO構文でテーブルを作成できます。

直接テーブル書き換えを行えるわけではありませんが、

• メタ情報のスキーマを参照して、データベースのユーザーを取得する
• SELECT FOR UPDATEを使って、DBをロックする
• SELECT INTOでDBサーバにファイルを書き出す

等の操作も、DBエンジンによっては可能です。

Comments

[maisumakun]

結論としては、「SELECT文を自由に入力できる機能をつけたいです。」という要望に対しては「危険すぎるので、絶対にやめておいたほうがいい」となります。

[subesys]

回答ありがとうございます。複文のことを考えていませんでした。
作成しようとしてる機能で複文を実行する必要はないので、最初の１文のみを実行するようにしようと思いますが、それでも抜け道はありますでしょうか？

[subesys]

タイミングが重なり申し訳ありません。やめておこうと思います。

[maisumakun]

えっと、上に書いたように「DBのパスワードを抜かれても構わない」ということでしょうか（ハッシュ化してあるとはいえ、ソルトもないのでその気になれば攻撃はまだ可能な範囲内です）。

[subesys]

軽く考えすぎてました、申し訳ありません。このことはやめておこうと思います。

Answer 2

先頭が SELECT などというゆるすぎる条件では簡単に全削除できます。

SELECT 1; DELETE * FROM table;

Comments

[mather]

もちろん削除だけでなく更新を含めなんでもできてしまいます。

[subesys]

回答ありがとうございます。複文のことを考えていませんでした。
作成しようとしてる機能で複文を実行する必要はないので、最初の１文のみを実行するようにしようと思いますが、それでも抜け道はありますでしょうか？

Answer 3

ダメ ゼッタイ
SQLインジェクションのまとめ