はてなブックマーク - SET NAMESは禁止

SET NAMESは禁止

blog.ohgaki.net

タグ : MySQL PHP security セキュリティ文字コード DB 開発プログラミング sql programming

コンピュータ・IT 61 users

MySQLには文字エンコーディングを変更する「SET NAMES」SQL文が用意されています。（PostgreSQLも同様のSQL文、SET CLIENT_ENCODINGがあります）この機能はSQLコンソールからは使ってよい機能ですが、アプリケーションからは使ってはならない機能です。SQLインジェクションに脆弱になる場合があります。 Ruby on Railsの本を読んでいて、ActiveRecordを説明している部分にMySQLの文字エンコーディングを変更する場合の例としてSET NAMESが利用され... > このページを見る

最終更新時間: 2008年03月21日23時21分

▼ブログで紹介する

みんなのブックマーク人気（0）新着

a7333027
禁止だったのか...´｀ 2012/01/09
studio-h
ふむふむ 2011/06/13
hide98 mysql, php
SET NAMES utf8 で文字化け回避できるけど、API 使ってちゃんとやらないとだめ。 2011/05/27
Cliche MySQL, php, programming
「DBMSをアプリケーションから利用する場合、文字エンコーディング設定は必ずAPIを利用する」つまり「SET NAMES（SET CLIENT_ENCODING等も)は禁止」 2009/06/19
youhey DB, development
アプリケーションとDBで文字エンコーディングが不整合をおこす危険性、SQLではなくAPIを利用して文字エンコーディングを設定 2009/03/19
nihen mysql, php, security
これはもっと知られるべき。CのAPIには書かれているが(http://dev.mysql.com/doc/refman/5.1/ja/mysql-real-escape-string.html)PHPのほうには書かれていない。(http://jp.php.net/manual/ja/function.mysql-real-escape-string.php) 2008/12/24
akiyan PHP, MySQL, security
. 2008/10/17
kgbu vulnerability, security, security hole, 文字コード, db, WAF, php
phpなどのスクリプト言語での文字encodingと、ＤＢの文字encodingの不整合を引き起こすからダメ。不整合があると、injection攻撃に対処しずらくなるし、第一データが不正になる。文字コードの設定と検出が基本。 2008/10/02
glcs MySQL, DB, 開発, ref
今の所理由が不明。 http://cakephp.seesaa.net/article/52562968.html 2008/03/21