PHP SQLインジェクション対策について

Question

PHP・Mysqlを使用してSQLインジェクションについての質問です。

SQLインジェクション対策について皆様はどのようなコードを書いておられるでしょうか？

SQLインジェクションはエスケープをして対策をするかと思いますが、どの関数などを使い
どんなコードを書いていますでしょうか？

たとえば、以下を使うのが良いでしょうか？
http://php.net/manual/ja/pdo.quote.php

皆様のSQLインジェクションの対策を教えてください。

宜しくお願いします。

Answer 1

初めまして、K_T_T_Kさん。
解答失礼いたします。

SQLインジェクション対策のコードをどのようにしているかとのことですが、
私もTaMaMhyuさんと同じでPDOとbindParamを主に利用していますね。

bindParamでは少しコードが冗長になってしまいますので
値の数が少ない場合は配列で直接渡してしまう事もあります。

プリペアドステートメントを使い、プレースホルダーで値をセットする場合は
PHP側で自動的にエスケープ処理をしてくれますので、便利ですね。

bindParamを用いない場合

<?php
	// 例：ユーザーが他のユーザーのIDを入力してデータを取得するプログラム
	$pdo = new PDO(DSN, DB_USER, DB_PASSWORD);

	$user_id = $_POST["user_id"];
	
	$sql = "SELECT * FROM users WHERE `user_id` = :user_id";
	$stmt = $pdo->prepare($sql);
	$params = array(":user_id",$user_id);

	$stmt->execute($params);
?>

bindParamを用いる場合

<?php
	// 例：ユーザーが他のユーザーのIDを入力してデータを取得するプログラム
	$pdo = new PDO(DSN, DB_USER, DB_PASSWORD);

	$user_id = $_POST["user_id"];
	
	$sql = "SELECT * FROM users WHERE `user_id` = :user_id";
	$stmt = $pdo->prepare($sql);
	$stmt->bindParam(":user_id",$user_id);

	$stmt->execute();
?>

bindParamを使う上での注意点(LIMIT句)

<?php
	// 例：新規登録したユーザーを入力された数値分、表示するプログラム
	$pdo = new PDO(DSN, DB_USER, DB_PASSWORD);

	$limit = $_POST["limit"];
	
	$sql = "SELECT * FROM users ORDER BY created DESC LIMIT 0, :limit";
	$stmt = $pdo->prepare($sql);
	$stmt->bindParam(":limit",$limit,PDO::PARAM_INT);

	$stmt->execute();
?>

Comments

[K_T_T_K]

はじめまして、rui3718様。
詳しい回答ありがとうございます！
サンプルコードありがとうございます！

>プリペアドステートメントを使い、プレースホルダーで値をセットする場合は
PHP側で自動的にエスケープ処理をしてくれますので、便利ですね

なるほど！
参考になります！

[rui3718]

K_T_T_Kさん、ありがとうございます。
サンプルコードのところに、bindParamを使った場合の
サンプルコードを足しておきました。

それとSQLインジェクションとは直接的関係はありませんし、
蛇足もしれませんが、bindParamを使う上での
注意しなければいけない点がありますので、そちらも追記しておきました。

bindParamで変数とパラメータを紐つける際に、明示的に変数の型を指定してあげないと、予期せぬエラーを起こしてしまう場合があります。

その中で代表的な例がMySQLのLIMIT句への紐付けで、数値として明示的に指定してあげないと、エラーを起こして、そもそもSQL文が実行できなかったりしてしまいます。

もし、SQL文にもエラーは見当たらないし、変数とパラメータの名前があっている場合は、変数とパラメータの方を疑ってみると解決するかもしれません。

Answer 2

PDOであればbindValueを使っています。
LIKE句には別の対応も必要だったと思いますが…
フレームワークを使う場合はフレームワークがだいたいやってくれるのであまり気にしていません。

Comments

[K_T_T_K]

TaMaMhyu様
いつも回答ありがとうございます！

bindValueですか！
なるほど。

LIKE句は
http://php.net/manual/ja/function.pg-query-params.php
ですかね？

そうですね！

[TaMaMhyu]

LIKE句については趣旨がずれる話（SQLインジェクション以前の問題）なのですが、何もしないと、検索機能として機能不全（特定の文字列が検索できない）になってしまう問題があります。

この辺の情報が参考になるでしょうか。
http://qiita.com/mpyw/items/b00b72c5c95aac573b71#2-5

[K_T_T_K]

TaMaMhyu様

>何もしないと、検索機能として機能不全（特定の文字列が検索できない）になってしまう問題があります。

なるほど。
そういう事でしたか。

参考になる記事の紹介ありがとうございます！