SQLインジェクションの仕組みと防御策！初心者でもわかる攻撃手法と対策の基本

<?php
// ユーザーからの入力を取得
$username = $_POST['username'];
$password = $_POST['password'];

// 危険：ユーザー入力を直接SQL文に組み込んでいる
$sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";

$result = mysqli_query($conn, $sql);

if (mysqli_num_rows($result) > 0) {
    echo "ログイン成功";
} else {
    echo "ログイン失敗";
}
?>

SELECT * FROM users WHERE username = 'tanabe' AND password = 'mypassword'

SELECT * FROM users WHERE username = 'admin' --' AND password = '任意の値'

SELECT * FROM users WHERE username = 'admin'

SELECT * FROM users WHERE username = '' UNION SELECT username, password FROM users --' AND password = ''

SELECT * FROM users WHERE username = ''; DROP TABLE users; --' AND password = ''

<?php
// ユーザーからの入力を取得
$username = $_POST['username'];
$password = $_POST['password'];

try {
    // PDOインスタンスの作成
    $pdo = new PDO('mysql:host=localhost;dbname=mydb', 'dbuser', 'dbpass');
    
    // プリペアドステートメントを準備
    $stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username AND password = :password");
    
    // パラメータをバインド
    $stmt->bindParam(':username', $username, PDO::PARAM_STR);
    $stmt->bindParam(':password', $password, PDO::PARAM_STR);
    
    // クエリを実行
    $stmt->execute();
    
    if ($stmt->rowCount() > 0) {
        echo "ログイン成功";
    } else {
        echo "ログイン失敗";
    }
} catch (PDOException $e) {
    // エラーハンドリング
    error_log($e->getMessage());
    echo "エラーが発生しました";
}
?>

<?php
$username = $_POST['username'];
$password = $_POST['password'];

// MySQLiインスタンスの作成
$mysqli = new mysqli('localhost', 'dbuser', 'dbpass', 'mydb');

// プリペアドステートメントを準備
$stmt = $mysqli->prepare("SELECT * FROM users WHERE username = ? AND password = ?");

// パラメータをバインド（"ss"は両方とも文字列を意味する）
$stmt->bind_param("ss", $username, $password);

// クエリを実行
$stmt->execute();

// 結果を取得
$result = $stmt->get_result();

if ($result->num_rows > 0) {
    echo "ログイン成功";
} else {
    echo "ログイン失敗";
}

$stmt->close();
$mysqli->close();
?>

import sqlite3

username = request.form['username']
password = request.form['password']

conn = sqlite3.connect('mydb.db')
cursor = conn.cursor()

# プリペアドステートメントを使用
cursor.execute(
    "SELECT * FROM users WHERE username = ? AND password = ?",
    (username, password)
)

result = cursor.fetchone()

if result:
    print("ログイン成功")
else:
    print("ログイン失敗")

conn.close()

const mysql = require('mysql2');

const connection = mysql.createConnection({
  host: 'localhost',
  user: 'dbuser',
  password: 'dbpass',
  database: 'mydb'
});

const username = req.body.username;
const password = req.body.password;

// プリペアドステートメントを使用
connection.execute(
  'SELECT * FROM users WHERE username = ? AND password = ?',
  [username, password],
  (err, results) => {
    if (err) throw err;
    
    if (results.length > 0) {
      console.log('ログイン成功');
    } else {
      console.log('ログイン失敗');
    }
  }
);

String username = request.getParameter("username");
String password = request.getParameter("password");

Connection conn = DriverManager.getConnection(
    "jdbc:mysql://localhost/mydb", "dbuser", "dbpass"
);

// プリペアドステートメントを使用
PreparedStatement stmt = conn.prepareStatement(
    "SELECT * FROM users WHERE username = ? AND password = ?"
);

stmt.setString(1, username);
stmt.setString(2, password);

ResultSet rs = stmt.executeQuery();

if (rs.next()) {
    System.out.println("ログイン成功");
} else {
    System.out.println("ログイン失敗");
}

rs.close();
stmt.close();
conn.close();

<?php
$username = $_POST['username'];
$password = $_POST['password'];

// MySQLi接続
$mysqli = new mysqli('localhost', 'dbuser', 'dbpass', 'mydb');

// エスケープ処理
$username = $mysqli->real_escape_string($username);
$password = $mysqli->real_escape_string($password);

// SQL文を構築
$sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";

$result = $mysqli->query($sql);

if ($result->num_rows > 0) {
    echo "ログイン成功";
} else {
    echo "ログイン失敗";
}
?>

// 文字エンコーディングを明示的に設定
$mysqli->set_charset("utf8mb4");

$user_id = $_GET['id'];
$user_id = $mysqli->real_escape_string($user_id);

// クォートで囲んでいないため脆弱
$sql = "SELECT * FROM users WHERE id = $user_id";

$user_id = $_GET['id'];

// 数値であることを確認
if (!is_numeric($user_id)) {
    die("Invalid ID");
}

$user_id = intval($user_id);  // 整数に変換

$sql = "SELECT * FROM users WHERE id = $user_id";

<?php
// ユーザーIDは数値のみを許可
if (!preg_match('/^[0-9]+$/', $_GET['user_id'])) {
    die("Invalid user ID");
}

// ユーザー名は英数字とアンダースコアのみを許可
if (!preg_match('/^[a-zA-Z0-9_]+$/', $_POST['username'])) {
    die("Invalid username format");
}

// メールアドレスの形式チェック
if (!filter_var($_POST['email'], FILTER_VALIDATE_EMAIL)) {
    die("Invalid email format");
}
?>

-- アプリケーション用のユーザーを作成
CREATE USER 'webapp'@'localhost' IDENTIFIED BY 'strong_password';

-- 必要なテーブルに対してのみ、必要な操作を許可
GRANT SELECT, INSERT, UPDATE ON mydb.users TO 'webapp'@'localhost';
GRANT SELECT, INSERT ON mydb.orders TO 'webapp'@'localhost';

-- DROP、CREATEなどの危険な権限は付与しない
-- すべての権限を確認
SHOW GRANTS FOR 'webapp'@'localhost';

<?php
$result = mysqli_query($conn, $sql);

if (!$result) {
    // データベース構造が露出してしまう
    die("Query failed: " . mysqli_error($conn));
}
?>

<?php
$result = mysqli_query($conn, $sql);

if (!$result) {
    // ログにのみ詳細を記録
    error_log("Database error: " . mysqli_error($conn));
    
    // ユーザーには汎用的なメッセージのみ表示
    die("An error occurred. Please try again later.");
}
?>

<?php
use App\Models\User;

// 安全：内部でプリペアドステートメントを使用
$user = User::where('username', $username)
            ->where('password', $password)
            ->first();

if ($user) {
    echo "ログイン成功";
} else {
    echo "ログイン失敗";
}
?>

from myapp.models import User

# 安全：内部でプリペアドステートメントを使用
user = User.objects.filter(
    username=username,
    password=password
).first()

if user:
    print("ログイン成功")
else:
    print("ログイン失敗")