ITパスポート試験 テクノロジ系 練習問題 第5問: Webアプリケーションの商品検索の機能に、SQLインジェクションの脆弱性が見つかった。この脆弱性そのものをなくす対策として、最も適切なものはどれか。

正解: 4. 検索に使うSQL文は、プレースホルダを使う方式で組み立てる

SQLインジェクションは、入力された値がSQL文の一部として解釈されて、データベースが不正に操作される脆弱性である。SQL文をプレースホルダで組み立てれば、入力された値は値としてだけ扱われ、SQL文の構造が変わらないので、脆弱性そのものがなくなる（4が適切。IPA「安全なウェブサイトの作り方」1.1 の根本的解決 1-(i)-a は、SQL文の組み立てを全てプレースホルダで実装するとしている）。1の空白の除去と2の文字数の上限は、入力された値の一部を削ったり短くしたりするだけで、引用符などSQL文で特別な意味を持つ記号は残り、短い文字列でも攻撃できるので、脆弱性は残る。3のデータベースのアカウントの権限を絞る対策は、攻撃されたときの被害を減らす保険的対策（同 1-(iv)）で、脆弱性そのものはなくならない。

関連キーワード: SQLインジェクション・プレースホルダ・保険的対策・SQL文