PHPでSQL インジェクション対策

Question

PHPでインジェクション対策を参考にSQL文のインジェクション対策を進めています。

下記の関数に対して、$genderはユーザー（外部）から与えられる仮想配列です。

安全なSQLの呼び出し方
の15ページより文字列連結にquoteメソッドを使うことがよいそうですが、表現方法をご教示いただけないでしょうか。

function teacher_search_from_gender($dbh, $gender){
  $sql = <<<SQL
  SELECT `id`
  FROM `member`
  WHERE `role` = :role
SQL;
  $sql.=' AND `gender` IN ("'.implode('","',$gender).'") ';
  $stmt = $dbh->prepare($sql);
  $stmt->bindValue(':role', 2, PDO::PARAM_INT);
  // $stmt->bindValue(':gender', implode('","',$gender), PDO::PARAM_STR);
  if($stmt->execute()){
    $teacher_id = array();
    $teacher_id = $stmt->fetchALL(PDO::FETCH_COLUMN);
    return $teacher_id;
  }else{
    return FALSE;
  }
}

Answer 1

可変長プレースホルダ、という定石があります。パラメータのぶんだけ予め ? を仕込んでおいてください。

PHPでデータベースに接続するときのまとめ - 可変長プレースホルダ

function teacher_search_from_gender(PDO $dbh, array $gender)
{
    if (!$gender) {
        return [];
    }

    $gender = array_values(array_unique($gender));
    $placeholders = implode(', ', array_fill(0, count($gender), '?'));

    $sql = <<<SQL
        SELECT `id`
        FROM `member`
        WHERE `role` = :role AND `gender` IN ($placeholders)
SQL;
    $stmt = $dbh->prepare($sql);

    $stmt->bindValue(1, 2, PDO::PARAM_INT);
    foreach ($gender as $i => $item) {
        $stmt->bindValue(2 + $i, $item, PDO::PARAM_STR);
    }

    return $stmt->execute()
        ? $stmt->fetchAll(PDO::FETCH_COLUMN)
        : false;
}

Comments

[mpyw]

【補足】

・すべて文字列の場合は execute でパラメータを渡せるのでもう少し簡単に書けます。bindValue で1つ1つ渡す場合は今回のように少々面倒な記述になってしまいます。

・PDO::ERRMODE_EXCEPTION にエラーモードを設定しておくと execute の返り値をチェックする必要がなく、成功したときのことだけ考えればいいようになるのでおすすめです。

[mpyw]

フレームワークを使っているのであればそもそもSQLを全部書く必要がないので一番ラクです。使っていない場合でも、LaravelのEloquentやクエリビルダは単独で導入することができるので、これをおすすめしておきます。

LaravelのORM、Eloquentを単品で使用してみる - Qiita
https://qiita.com/IganinTea/items/16bad23bd4e4cbed337a

これを使うと、今回のコードはそもそも関数化する必要がないぐらいシンプルになりますね。

$id = DB::table('member')->where('role', 2)->whereIn('gender', $gender)->first()->id ?? false;

これだけです。

Answer 2

一番の対策はそもそも自分でSQLを書かない。

Answer 3

こんなふうにやってください

$gender=["x","y","z"];
$sql = <<<SQL
SELECT `id`
FROM `member`
WHERE `role` = 2
SQL;
$data=[];
if(is_array($gender) and count($gender)>0){
  $sql.=" and `gender` in (".implode(",",array_fill(0,count($gender),"?")).")";
}
$data=array_merge($data,$gender);
print $sql;
print_r($data);

$stmt = $dbh->prepare($sql);
$stmt->execute($data);
$rows=$stmt->fetchAll(PDO::FETCH_ASSOC);
print_r($rows);

※roleにはスタティックなintデータが入ってたので直書きしておきましたが
場合によっては$dataに格納してprepareで処理してもOK

Comments

[DaisukeKusakari]

いつもいつもありがとうございます。
コードの中身を理解できました。