動的プレースホルダの静的プレースホルダ違いとSOLインジェクション脆弱性対策

プレースホルダのことを調べていましたがその際に
バインド処理を実現するライブラリによっては，SQL構文を変化させるようなSQLインジェクションを許してしまう，脆弱な実装のものが存在する可能性を否定できない。
よって，SQLインジェクション脆弱性対策には，なるべく静的プレースホルダを使用することを推奨する。
との記載がありました。
なので静的プレースホルダを使用すると思っていたのですがなぜPHPのデフォルトは動的プレースホルダがデフォルトになっているのでしょうか？
動的プレースホルダを使いたい場合は実際にどのような注意をすればいいのでしょうか？
ご解答宜しくお願いいたします。
出典
リンク内容

退会済みユーザー

2017/01/12 20:47

「との記載がありました」出典を明らかにしてください。文脈によって判断が分かれる恐れがあります。また、可能であれば、ご自身で調査した内容についても追記してください。

space_sss

2017/01/12 20:49

修正いたしました。

行動規範の内容に同意します

回答4件

ベストアンサー

なぜPHPのデフォルトは動的プレースホルダがデフォルトになっているのでしょうか？

これは、動的プレースホルダにするメリットもあるということと、歴史的な経緯によるものです。
MySQLは元々静的プレースホルダ（prepared statement）をサポートしておらず、4.1になって追加されました。そのため、デフォルトが動的プレースホルダになっているという状況があります。
また、静的プレースホルダが後から追加されたということもあり、性能や安定性が、動的プレースホルダの方が優れているので、デフォルトが動的プレースホルダになっている、という面もあると思います。

動的プレースホルダを使いたい場合は実際にどのような注意をすればいいのでしょうか？

動的プレースホルダを使っていてSQLインジェクション脆弱性が問題になるのは、以下のケースが考えられます。

PHPやMySQのドライバに脆弱性がある場合
PDO等の使い方に問題がある場合

実はいずれも、「文字エンコーディング」の設定や扱い方に問題がある場合というのが典型的なケースとなります。現実問題としては、文字エンコーディングとしてUTF-8を使ってる限りにおいては、問題になる可能性はかなり低いと予想されます。
また、文字エンコーディングを正しく指定することが重要です。その辺りの経緯も含めて、下記の記事を参考にしていただければと思います。

投稿2017/01/13 09:01

総合スコア11701

2017/01/13 13:03

横から失礼します。 > 性能や安定性が、静的プレースホルダの方が優れているので、デフォルトが動的プレースホルダになっている、という面もあると思います。は、｢動的プレースホルダの方が優れているので｣の誤記でしょうか？文脈的に、その方が自然なように感じますので。

ockeghem

2017/01/13 13:44

その通りです。ご指摘ありがとうございます。先程修正しました。

KiyoshiMotoki

2017/01/13 15:00

レスありがとうございます。勉強させていただきました。

行動規範の内容に同意します

PHPのデフォルトは動的プレースホルダがデフォルト

PHPのバージョンによって、デフォルトの値は異なります。

こちらの記事が役立つと思います。
PHPでデータベースに接続するときのまとめ

投稿2017/01/12 21:03

退会済みユーザー

総合スコア0

こういった内容は基本公式見解、または権威のあるサイトを踏襲する方がよろしいと思います。
「IPAの基準を満たして作成された」と言えればリスクヘッジにもなりますし。

安全なウェブサイトの作り方
http://www.ipa.go.jp/security/vuln/websecurity.html
安全なSQLの呼び出し方
http://www.ipa.go.jp/files/000017320.pdf

投稿2017/01/13 01:14

takepieee

総合スコア686

静的か動的かによっていくつかの違いがあります
たとえば、bindValueの再利用

SQL
1  $sql="SELECT * FROM tbl WHERE a=:x and b=:x";
2  $stmt = $pdo->prepare($sql);
3  $stmt->bindValue(':x',10, PDO::PARAM_INT);
4  $stmt->execute();