SQL インジェクション / プリペアド vs 連結

SQL インジェクション / プリペアド vs 連結

Lesson 11 / Chapter 9

文字列連結で SQL を組み立てると壊れる

<?php
$name = $_GET['name'];                              // ユーザー入力
$sql  = "SELECT * FROM users WHERE name = '$name'"; // ❌ そのまま連結
$pdo->query($sql);

入力が普通の名前ならよさそうに見える。

問題は、入力が ' OR '1'='1 のとき:

SELECT * FROM users WHERE name = '' OR '1'='1'

→ 全件返ってくる。ログイン処理でこれをやると突破される。

さらに悪意のある入力

入力が '; DROP TABLE users; -- だったら:

SELECT * FROM users WHERE name = ''; DROP TABLE users; --'

• ; で SQL 文を区切られ、DROP TABLE users が 続けて実行される
• -- 以降はコメント扱いで無効化される

これが SQL インジェクション。データ全削除やパスワード抜き取りに使われる典型攻撃。

プレースホルダで防ぐ

<?php
$stmt = $pdo->prepare("SELECT * FROM users WHERE name = ?");
$stmt->execute([$name]);

• ? の部分は 値の入る場所 として SQL に渡される
• $name は 値 として扱われ、SQL 構文として解釈されない
• 入力に ' や ; が混じっていても、ただの文字として比較される

→ ' OR '1'='1 という名前のユーザーを探しに行くだけ (誰もいないので 0 件)。

prepare / execute の流れ

<?php
// 1. SQL の「型」を DB に登録 (値の場所だけ ? にする)
$stmt = $pdo->prepare("SELECT id, name FROM users WHERE name = ?");

// 2. 値を渡して実行
$stmt->execute([$name]);

// 3. 結果を取り出す
foreach ($stmt->fetchAll(PDO::FETCH_ASSOC) as $row) {
    echo "{$row['id']}: {$row['name']}\n";
}

ポイント: prepare した時点で SQL の構造は確定済み。後から値を渡しても 構造を書き換えられない。

LIKE 検索でも同じルール

部分一致検索 (name LIKE '%山%') でも、% はクエリ側で作って、入力は値として渡す。

<?php
$keyword = trim(fgets(STDIN));
$stmt = $pdo->prepare("SELECT id, name FROM users WHERE name LIKE ?");
$stmt->execute(['%' . $keyword . '%']);  // % は PHP 側で付ける

• 連結は SQL の中ではなく、プレースホルダに渡す値の側 で行う
• これなら keyword に ' や ; が入っても安全

このチャプターでできるようになること

✅ 文字列連結が危険な理由を ' OR '1'='1 の例で説明できる

✅ prepare + ? で SQL の構造と値を分離する書き方ができる

✅ LIKE 検索でも、% は SQL 側に書いて値だけプレースホルダに渡せる

✅ 「ユーザー入力を SQL に連結したら危険」という反射を持てる

→ ドリルへ