今日の開発Tips
Tips

今日の開発Tips（2025-08-07）

データベース操作において、頻繁に発生するSQLインジェクション脆弱性を防ぐための、パラメータ化クエリ（プリペアドステートメント）の活用方法を紹介します。パラメータ化クエリは、SQL文とデータ部分を分離することで、SQLインジェクション攻撃からアプリケーションを保護します。これにより、データベースへの不正なアクセスやデータ改ざんを防ぎ、アプリケーションのセキュリティを向上させることができます。

パラメータ化クエリによるSQLインジェクション対策

データベース操作において、SQL文に直接ユーザー入力などの動的な値を埋め込むと、SQLインジェクション攻撃の脆弱性が生じます。これを防ぐために、パラメータ化クエリ（プリペアドステートメント）を使用しましょう。パラメータ化クエリでは、SQL文とデータ部分を分離して処理するため、ユーザー入力値がSQL文として解釈されることを防ぎます。

Python (psycopg2を用いた例):

import psycopg2

conn = psycopg2.connect("dbname=mydatabase user=myuser password=mypassword")
cur = conn.cursor()

# ユーザー入力値
username = "user'; DROP TABLE users;--"  # 悪意のある入力例

# パラメータ化クエリ
cur.execute("SELECT * FROM users WHERE username = %s", (username,))

# データの取得
users = cur.fetchall()

# 結果の処理
for user in users:
    print(user)

cur.close()
conn.close()

注意点:

  • 使用するデータベースドライバやデータベースシステムによって、パラメータ化クエリの記述方法は異なります。
  • 適切なエラー処理と例外処理を組み合わせることで、より堅牢なコードを作成できます。
  • パラメータ化クエリはSQLインジェクション対策として非常に有効ですが、他のセキュリティ対策と組み合わせることが重要です。

おすすめポイント:

パラメータ化クエリは、開発初期段階から導入することで、後々のセキュリティ問題を大幅に軽減できます。わずかなコード変更で大きな効果を得られるため、積極的に採用することをお勧めします。

Tips一覧へ戻る