実現したいこと
SQLインジェクション対策をしつつ
レスポンスは維持したい
前提
現在、古い仕様の既存サイトのSQLインジェクション対策をしております。
そこで、
PDO::ATTR_EMULATE_PREPARES => false
としてプリペアドステートメントに置き換えているのですが
PDO::ATTR_EMULATE_PREPARES => false
このプリペアドステートメント、パフォーマンス的にはあまり良くありません。1つのクエリを実行するために、プレースホルダ付きのクエリを投げた後に、それに値をバインドして実行するコマンドを投げるので、1回のクエリを実行するのに2往復の通信が必要になるのです。
という記事を見つけました
変数の値を、正しくエスケープ処理して、SQLに埋め込めば良いのです。
と続けてあったのですが、受け取った変数を指定した型であるか確認したりエスケープ処理した上でSQL文に埋め込んで実行することでも十分とは言わずとも対策としてはされているのでしょうか
![guest](/img/icon/icnUserSample.jpg)
回答1件
あなたの回答
tips
プレビュー
バッドをするには、ログインかつ
こちらの条件を満たす必要があります。
2024/07/10 05:40