SQLでエスケープなんてしたら負けかなと思ってる。 - めもおきば

オレオレSQLセキュリティ教育は論理的に破綻している | yohgaki's blog 「プリペアードクエリが基本だけど、動的に SQL を組み立てる場合もあるから、そういう場合に備えてエスケープも知っておいたほうがいいかも」 - Togetterまとめ SQLインジェクション対策で大垣靖男氏は何を勘違いしていたか | [ bROOM.LOG ! ] エスケープとプレースホルダをめぐる議論 - Togetterまとめ SQLインジェクション対策としてのプリペアドステートメントとエスケープについての議論 - Togetterまとめ IPAの「安全なSQLの呼び出し方」が安全になっていた | yohgaki's blog SQLへの安全な値の埋め込み方について、ここ数日で色々議論というか意見の投げ合いがありましたが、自分としての考えをまとめておきます。 1. SQLに値を埋め込む場合は、プリペ

[nekoruri]

この頃流行りのSQLエスケープに関してこんな感じでまとめたので、突っ込み募集中。

[rti7743]

既存の処理系がもっと使いやすくなって、何も考えずに適当に書いたコードが一番安全になってくれたらいいなと思います。

[theatrical]

"SQLに限らず「エスケープは難しい」という認識は、全てのエンジニアが持っているべきです。"

[unirun]

.NETな僕はパラメタライズドクエリ派（）

[pullphone]

概ねこんな姿勢でいいと思う

[ww_zero]

内容的には異論無い。しかし「プリペアドステートメント大勝利！希望の未来へレディゴー！」ではないのでこんなことで勝ち負け云々言うのはどうでもいい。お客様にご満足いただけることこそが俺たちの勝利だよ

[deamu]

「SQLに限らず「エスケープは難しい」という認識は、全てのエンジニアが持っているべきです。」　マジこれに尽きる。

[hiro14aki]

[SQL]エスケープ

[naga_sawa]

プレースホルダ使え/の原則で原則は大丈夫なはず

[dagama]

likeも'% || ? || %'とか書いて値だけメタ文字エスケープする感じになるよね

[masaru_b_cl]

ただし、likeを覗いて

[KAZUMiX]

エスケープと関係無いけど、 IntelliJ IDEA で DB の設定ちゃんとやっとくとエディッタが認識したプリペアドステートメントを利用してクエリー実行できて便利だった

[ghostbass]

位置パラメータしか使えなくて泣いたことは何度もあるけど。

[houyhnhm]

like検索が頻繁に発生するなら、検索用に項目作っちゃったりしますね。

[ya--mada]

SQLに限らず、オレオレとかナンチャッテは禁止して欲しい。ナンチャッテJSONでエスケープ出来ていなくて嵌められた記憶が甦る。

[UDONCHAN]

エスケープつらい

[kabochatori]

そもプリペアドステートメントはセキュリティ目的ではないけども副次的にその効果もあるってだけなんだよね。最初からセキュリティを目的としたLIKEエスケープその他も抑えた標準な機構があるといいのにね。

[NOV1975]

生まれてこの方プログラムからのSQLはプレースホルダしか使ったことがありません（若干嘘

[hidea]

はじめてDBを操作するアプリを作った時にものすごくびくびくしながら作ったのを思い出した。

[luccafort]

タイトルに釣られてなにおぅ！と意気揚々と見に来たら書いてあることが悉く正論で正座でハイソノトオリデゴザイマス！っていいだすくらいには良いまとめ。

[Kenji_s]

LIKE句でエスケープするから結局ほぼ全員が負けるという状況に(w 必要なエスケープ関数がすべて標準で提供されているべきなんでしょうね

[tsucchi1022]

正論。良いまとめだと思う

[muddydixon]

「SQLに限らず「エスケープは難しい」という認識は、全てのエンジニアが持っているべきです」ここにすべてが詰まってる

[YaSuYuKi]

SQL Server2000にJDBC経由でクエリを発行しようとした時、「select top 1 * from a」の「1」をプレースホルダにしたらクエリがこけた

[Itisango]

“LIKE句に食わせる文字列値の中の % や正規表現のメタ文字など、「文字列の中身」で必要なエスケープはもちろん必要ですし、そこから先こそこそがアプリケーションの責務だと考えます。”

[stk2k]

やはりプレースホルダが基本ですよね。テーブル名は動的にしなくても大抵モデルの切り替えで対応できますが、問題は記事の通りORDER などの部分。

[miragestlike]

負けです。

[koyancya]

それはちょっと怖そう -> "その通りに入力バリデーションを実施していれば、やはりエスケープの必要は無いはずです"

[gnety]

like文を使うときはエスケープせずにできたっけ？SQL標準にない文を使うときもプレースホルダ使えないときがあった

[wdoomer]

わしエスケープしたい