ikepyon https://blog.hatena.ne.jp/ikepyon/ ikepyonのだめ人間日記 https://ikepyon.hatenablog.jp/ セキュリティ バインド機能を使えば、ほぼすべてのSQLインジェクションの脆弱性を防ぐことが出来るのは良く知られていると思いたい。しかし、アプリケーションの仕様によっては、検索項目やソート順を自由に変更したい場合がある。この場合、バインド機能では残念ながら対応できない。 そこで、以下のようなSQL文を組み立てることがあるのでは無いだろうか？ sql = "select * from table1 where " + (入力データ1) + "= ? order by " + (入力データ2) + ";"; 「(入力データ*)」はここでブラウザから渡されたデータとする。この場合、いくらバインド機能使ってても、「(… 190 <iframe src="https://hatenablog-parts.com/embed?url=https%3A%2F%2Fikepyon.hatenablog.jp%2Fentry%2F20091022%2Fp2" title="動的に検索項目を指定したい場合のSQLインジェクション対策 - ikepyonのだめ人間日記" class="embed-card embed-blogcard" scrolling="no" frameborder="0" style="display: block; width: 100%; height: 190px; max-width: 500px; margin: 10px 0px;"></iframe> Hatena Blog https://hatena.blog 2009-10-22 00:00:02 rich https://ikepyon.hatenablog.jp/entry/20091022/p2 1.0 100%