sql-injection-prevention

SQL インジェクションの防止

目次

• 概要
• 使用する場面
• クイックスタート
• リファレンスガイド
• ベストプラクティス

概要

プリペアドステートメント、パラメーター化クエリ、ORM のベストプラクティス、入力検証を使用して、包括的に SQL インジェクションを防止します。

使用する場面

• データベースクエリの開発
• レガシーコードのセキュリティレビュー
• セキュリティ監査での指摘事項の修正
• API エンドポイントの開発
• ユーザー入力の処理
• 動的クエリの生成

クイックスタート

最小限の実行可能な例：

// secure-db.js
const { Pool } = require("pg");

class SecureDatabase {
  constructor() {
    this.pool = new Pool({
      host: process.env.DB_HOST,
      database: process.env.DB_NAME,
      user: process.env.DB_USER,
      password: process.env.DB_PASSWORD,
      max: 20,
      idleTimeoutMillis: 30000,
      connectionTimeoutMillis: 2000,
    });
  }

  /**
   * ✅ SECURE: Parameterized query
   */
  async getUserById(userId) {
    const query = "SELECT * FROM users WHERE id = $1";
    const values = [userId];

    try {
      const result = await this.pool.query(query, values);
// ... (see reference guides for full implementation)

リファレンスガイド

詳細な実装については、references/ ディレクトリを参照してください。

ガイド	内容
Node.js with PostgreSQL	PostgreSQL を使用する Node.js
Python with SQLAlchemy ORM	SQLAlchemy ORM を使用する Python
Java JDBC with Prepared Statements	プリペアドステートメントを使用する Java JDBC
Input Validation & Sanitization	入力検証とサニタイズ

ベストプラクティス

✅ 推奨事項

• 必ずプリペアドステートメントを使用する
• ORM フレームワークを適切に使用する
• すべてのユーザー入力を検証する
• 動的な値は許可リストで管理する
• 最小権限の DB アカウントを使用する
• クエリログを有効にする
• 定期的にセキュリティ監査を実施する
• パラメーター化クエリを使用する

❌ 禁止事項

• ユーザー入力を連結する
• クライアント側の検証を信頼する
• クエリに文字列フォーマットを使用する
• テーブル名やカラム名を動的に指定できるようにする
• DB に過剰な権限を付与する
• 入力検証を省略する