PHPとセキュリティの解説書12種類を読んでSQLエスケープの解説状況を調べてみた

この投稿はPHP Advent Calendar 2013の13日目の記事です。昨日は@tanakahisateruのPHPが糞言語なのはどう考えても参照をポインタだと思っているお前らが悪いでした。 現在twitterのタイムラインで、史上空前のSQLのエスケープブームが起こっています。 オレオレSQLセキュリティ教育は論理的に破綻している | yohgaki's blog 「プリペアードクエリが基本だけど、動的に SQL を組み立てる場合もあるから、そういう場合に備えてエスケープも知っておいたほうがいいかも」 - Togetterまとめ エスケープとプレースホルダをめぐる議論 - Togetterまとめ SQLインジェクション対策としてのプリペアドステートメントとエスケープについての議論 - Togetterまとめ IPAの「安全なSQLの呼び出し方」が安全になっていた | yohgak

[isidai]

一つだけ49円の本がある / 徳丸浩の日記:

[hondallica]

ロープライス¥49を二度見した

[koyhoge]

アドカレとは思えないほどの力作w 大垣さんはSQLインジェクションだけではなく、セキュリティ教育全般にいつの間にか舞台を移動しているので、噛み合わないのでしょう。

[nagoling]

“ 同書のSQL呼び出しの説明は基本的にPDOを用いていますが、SQLインジェクションの説明の節では、プレースホルダが使えない場合はpg_escape_stringやmysql_real_escape_stringなど「データベースエンジン毎に用意された関数」でエス

[tomo_thumb]

x

[namikawamisaki]

PHP入門～パーフェクト系までを読んでのレビュー

[nemoba]

ORMで抽象化された層で複雑なサブクエリーを食わせようとして、サブクエリーがORMで解釈されなくなり、パラメータ化できなくなって文字列組み立てしてエスケープを始めるパターンなら良く見た。

[snomof]

意外ととインジェクションの危険性があるコードは出なかったようだけど、PHPの入門書って地雷原っぽい

[zakinco]

メモ

[gontta]

いい

[gnufrfr]

pdoで名前付きのプレースホルダと連想配列でぐるぐる回しながらbindしまくってたのでとくにプリペアードステートメントが使えないシーンねーな。pdoないとか5,6年前か。 http://www.php.net/manual/ja/pdostatement.bindparam.php

[FTTH]

挨拶代わりの大垣disで草、というか本当に話の枕扱いでしかないｗ　／ 俺的にはこれ参照→[google:"セキュリティ守破離"]

[kits]

「PHP初心者がSQLを呼び出す場合は、『ともかく文字列連結でSQL文を組み立てるな、プレースホルダを使え』という指導は有効」

[mumincacao]

たまに SQL 投げる前に htmlspecialchars() かけるひと居るのがどうしてその考え方に至ったのか謎なんだけど入門本でもその間違いしてるのがあるですか・・・ （´・ω【みかん

[masapon49]

気になるのでメモ

[asuka0801]

SQLインジェクションについて書かれた著書まとめ

[muchonov]

たとえば複数のPOST値の有無を判定して1行ずつ「プレースホルダ入りのprepared statementの断片を積み上げる形でSQLを組み立てる」というのはアリなのかナシなのか知りたい今日この頃。

[poppun1940]

2013年12月13日金曜日 PHPとセキュリティの解説書12種類を読んでSQLエスケープの解説状況を調べてみた この投稿はPHP Advent Calendar 2013の13日目の記事です。昨日は@tanakahisateruのPHPが糞言語なのはどう考えても参照をポインタだと

[s025236]

関連ページも結構みてるんだけど、プレースホルダが使えない場合エスケープって話だと思うんだけどそもそもプレースホルダが使えない状況ってなんなの？

[efcl]

PHPの書籍のSQLエスケープ/プレースホルダーについてまとめ

[honeybe]

トマホーク

[nasneg]

“こちら”

[hylom]

Togetterの関連エントリを見ないと事の背景が分からないw ちなみに自分はPHP使いではないですがSQLにおけるエスケープは「使ってはいけない」派です。

[k-holy]

PDOStatement::execute($parameters)が全てのパラメータを文字列として扱う恐ろしい仕様なのはもっと広く知られた方がいいと思います

[ghostbass]

だれも「エスケープは不要」とは言わず「プレースホルダ使え」と言っているのにいつの間にか「エスケープは不要」になってるっぽい。

[nekoruri]

史上空前のSQLのエスケープブームｗｗｗ

[koyancya]

"史上空前のSQLブーム"

[ockeghem]

日記書いた。『この投稿はPHP Advent Calendar 2013の13日目の記事です…』