PHP SQLインジェクションエスケープ

phpでデータベースを扱う際に、絶対に知っておかなければいけないセキュリティ対策として、「sqlインジェクション」というものがあります。ご存知でない方は、その概要と手口、対策方法について必ず知っておいてください。 sqlインジェクションとは入力フォームから入力した「sql文を含む文字列」で、アプリケーションが想定しないsql文を実行させることにより、データベースを不正操作するサイバー攻撃の一種です。本記事では具体的なsqlインジェクションの攻撃例そして対策方法を紹介しています。 PHP 5.2までのPHPランタイムには、SQL Serverに接続するためのMssql関数（php_mssql.dll）が用意されており、アプリケーションはこれを使用してSQL Serverに接続することができましたが、Windows版のPHP 5.3以降のバージョンではサポートされない状態となっていました。 SQLインジェクション（SQL Injection）概要. 完全なsqlインジェクション対策では入力対策も欠かせません。入力処理では、入力パラメータを厳格にバリデーションします。これは重要なセキュリティ対策ですが、重要でないと誤解しているケースが多々あります。入力処理も重要ですがここでは詳細は省略します。

外部から受け取った値を、エスケープせずにSQLを実行するために発生。対策. 警告. mysql_real_escape_string (PHP 4 >= 4.3.0, PHP 5) mysql_real_escape_string — SQL 文中で用いる文字列の特殊文字をエスケープする. アプリケーションの意図しないSQLを実行させる。原因. PHPで用意されているpg_escape_string関数とpg_escape_bytea関数はそれぞれ文字列型、bytea型のデータを、PostgreSQLのSQLに埋め込むようにエスケープしてくれる関数です。数値用のエスケープ関数はありません。この理由に関しては後述するとして、まずはそれぞれの関数の使用例をみてみることに …