Slickで、Plain SQLのWEHRE句を動的に変更する場合のSQL Injection対策について

###前提・実現したいこと
Play 2.4(Scala) + Slick 3.0（MySQL 5.5）を利用しています。

表題通りの質問ですが、SlickのPlain SQLを利用して、WEHRE句を動的に変更した場合の
SQL Injection対策についてスマートな記法がないか悩んでおります。

下記の場合、nameに「2%' or 1=1-- 」といった文字列が来た場合などに、
SQL Injectionされてしまいます。

###該当のソースコード

scala
1// 外部入力されるnameであいまい検索をしたい
2val whereState = "and name like '%$name%'"
3
4sql"select * from a_table where age = 20 #$whereState"

SQL Injection攻撃されないスマートな記述方法がわかるかた、ご教授いただけないでしょうか。

よろしくお願いします。

行動規範の内容に同意します

回答3件

文字列の最後の or 0 = 0 などと書いてあるとテーブルの全件が対象になって、ごそっとデータが盗まれます。
初歩的なチェック方法としては name に英字、マルチバイト(漢字、ひらがな、かたかな)以外をエラーとする、とか。

投稿2016/10/06 04:03

Orlofsky

総合スコア16415

satokenzo0722

2016/10/06 05:20

ご回答ありがとうございます。そうですね、チェックしてエラーにするのも手だと思っています。個人的に、Slickで動的にPrepared Statementをlikeに使う方法があれば一番良いと考えているのですが、どうも書き方がわからず困っている状態です。

Orlofsky

2016/10/06 06:00

通常登録時にふりがなも入れさせるサイトが多いですが、name で名前を検索する時ふりがなや外国の人はアルファベットだけに限定してSQLインジェクションができないよう検索機能を作ります。 SQLインジェクション対策 http://www.atmarkit.co.jp/ait/articles/0611/02/news127.html SQLインジェクション対策もれで損害賠償の判決もあります。 https://codezine.jp/article/detail/9204 あら、マイナスを付けられている。涙

行動規範の内容に同意します

元のソースは "and name like" までを動的に加えているので、外部入力された name の値が空文字、あるいはNULLのときは加えたくないということですかね？
AND LIKE '%%' となればNULL以外の全件が対象になるので同じことかもしれませんが……

そのやり方については、この辺で解説しておきましたので、良かったらご覧ください。
http://qiita.com/kantomi/items/d7316b7dc7a0cf8512e1
http://qiita.com/kantomi/items/1c1f3ee99031d7e4b6a2

つまり、

and (name like パラメータ OR パラメータ IS NULL)
あるいは、パラメータに空文字がくるときは
and (name like パラメータ OR パラメータ = '')

となるようにすれば、動的なWHERE句の生成を避けることができます。

投稿2016/10/06 07:42

編集2016/10/06 07:45

kantomi

総合スコア295

ベストアンサー

公式のドキュメントを読む限り、Slick は
「可能な限りプリペアドステートメントを使用する」
と記載があります。
http://slick.lightbend.com/doc/3.0.3/database.html#connection-pools

Slick uses prepared statements wherever possible

しかし、ご提示のソースコードのままではプリペアドステートメントは使用できないはずです。
なぜなら、MySQLでは値の一部だけをバインドパラメータで指定することはできないからです。
（LIKE 句の"%"も「値」に含まれます）

というわけで、以下のようにソースコードを修正すると、うまくいくかも知れません。

scala
1// 外部入力された name の値
2val name = "hoge";
3val nameLike = "%" + name + "%";
4
5sql"select * from a_table where age = 20 and name like ${nameLike}"