SQL インジェクション対策

目次

• 概要
• 使用する場面
• クイックスタート
• リファレンスガイド
• ベストプラクティス

概要

プリペアドステートメント、パラメータ化クエリ、ORM ベストプラクティス、および入力検証を使用した包括的な SQL インジェクション対策を実装します。

使用する場面

• データベースクエリの開発
• レガシーコードのセキュリティ レビュー
• セキュリティ監査の是正
• API エンドポイントの開発
• ユーザー入力の処理
• 動的クエリの生成

クイックスタート

最小限の動作例:

// secure-db.js
const { Pool } = require("pg");

class SecureDatabase {
  constructor() {
    this.pool = new Pool({
      host: process.env.DB_HOST,
      database: process.env.DB_NAME,
      user: process.env.DB_USER,
      password: process.env.DB_PASSWORD,
      max: 20,
      idleTimeoutMillis: 30000,
      connectionTimeoutMillis: 2000,
    });
  }

  /**
   * ✅ SECURE: パラメータ化クエリ
   */
  async getUserById(userId) {
    const query = "SELECT * FROM users WHERE id = $1";
    const values = [userId];

    try {
      const result = await this.pool.query(query, values);
// ... (詳細な実装はリファレンスガイドを参照してください)

リファレンスガイド

詳細な実装は references/ ディレクトリにあります:

ベストプラクティス

✅ すべき

• プリペアドステートメントを常に使用
• ORM フレームワークを適切に使用
• すべてのユーザー入力を検証
• 動的値をホワイトリスト化
• 最小権限の DB アカウントを使用
• クエリログを有効化
• 定期的なセキュリティ監査を実施
• パラメータ化クエリを使用

❌ してはいけないこと

• ユーザー入力を連結する
• クライアント側の検証を信頼する
• クエリに文字列フォーマットを使用
• 動的テーブル/カラム名を許可
• DB アクセス権限を過剰に付与
• 入力検証をスキップ