SQLインジェクションは、入力を通じてDBに不正な命令を送り込む攻撃です。「データのはずの入力が、命令になってしまう」のが本質です。
初級の解説は準備中のため、初級の内容を表示しています。
概要 — まず全体をつかむ
詳細 — 1段階ずつ追う
どう起きる？
DBへの命令（SQL）を、入力をそのまま文字列でつなげて作ると危険です。
たとえば「名前で検索」のとき、入力欄に普通の名前ではなく命令の切れ端を入れられると、それが命令の一部として解釈され、全件を抜き出す・消す・ログインを突破する、といったことが起きます。
アニメーション『SQLインジェクション（命令とデータの分離）』を開く
どう防ぐ？
- パラメータ化クエリ（プレースホルダ） — 命令の骨組みを先に固定し、入力は「値（データ）」として別枠で渡す。これなら入力は命令として動かない
- 文字列連結でSQLを組み立てない — これが鉄則
- 最小権限 — アプリのDBユーザーに、必要以上の権限（削除・全件）を与えない
- 入力検証 — 補助として、型や形式も確かめる
⚠️ 気をつける
- エスケープ自作に頼る — 自前の文字置換は抜けやすい。パラメータ化が正解
- エラーメッセージの露出 — DBのエラーをそのまま返すと、構造のヒントを与えてしまう
- ORMでも油断しない — 生SQLを組み立てる箇所は同じリスク
理解度チェック
そのまま解けます（成績は保存されません）。無料アカウントを作ると、学習の記録と進捗の山登りが始まります。
問1. SQLインジェクションが起きる原因に最も近いのは？
問2. SQLインジェクションの王道の防ぎ方は？
問3. 「名前で検索」の入力欄に 普通の名前ではなく命令の切れ端を入れられると 何が起こりうる？
問4. 文字列連結でSQLを組み立てることについて 正しいのはどれ？
問5. DBのエラーメッセージをそのまま画面に返すと なぜまずい？
問6. 「ORMを使っているから安全」と言えるか？
問7. アプリのDBユーザーに 削除や全件取得などの必要以上の権限を与えないことを 漢字4文字で何という？
問8. 自前で危険な記号を置き換える「○○の自作」は抜けやすく避けるべき。○○に入るカタカナは？