CodeIgniter のSQLインジェクション対策は安全？

Question

自前のセキュリティ対策の維持に、不安が出て来て、フレームワークへの移行を検討中です。

CodeIgniter を選択しましたが、徳丸先生ご推薦の、PDO+プレースホルダが、使われていないような気がします。

公式ドキュメントや、検索結果を眺める限りでは、「大丈夫」と書いているところが多いようですが、「PDO+プレースホルダは安心」として使用していた身からすると、しっくり来ません。

urlの構成を工夫せずにいて、CodeIgniter を使用している事を知られると、そこを狙った突破口がある様な気がして来ました。

的外れの心配なのでしょうか。

ソースコードのどの辺を確認すればいいのか、迷っておりましたが・・・

Comments

[m.ts10806]

「気がします」というのはどういった点からでしょうか。
また「CodeIgniter」タグを追加しておいてください。

[ciaociao_HK]

ありがとうございました。大丈夫と言っている割に、PDOをどう使うのか、といった話を見つける事ができませんでした。
スマホアクセスで、タグ入力ができませんでしたので、後で追記します。

Answer 1

CodeIgniter を選択しましたが、徳丸先生ご推薦の、PDO+プレースホルダが、使われていないような気がします。

はい、CodeIgniterは骨格のみのフレームワークで、データベース関連に関しては（セキュリティ以前の問題として）自分で実装すべき部分が多いです。

urlの構成を工夫せずにいて、CodeIgniter を使用している事を知られると、そこを狙った突破口がある様な気がして来ました。

ただ、自前実装が多いので、逆に「このパターンで狙えばSQLインジェクションを起こせる」というような共通パターンは少ないかと思います。

Comments

[ciaociao_HK]

ありがとうございます。
「結局、自分で実装する」
という事ですね。

[退会済みユーザー]

良くも悪くも素の php に近い記述でコードが書けるので、個人的には好きなのですが、フルスタックなフレームワークを想定して入門すると、違和感が半端ないかもしれないですね。。。ｗ

全然余談ですが、save_queries だけは気をつけて下さい！

[maisumakun]

自分もsave_queriesにメモリを使い果たされたことがありますね……

[退会済みユーザー]

一度は痛い目にあうやつですよね＾＾；