DeNA Engineering - DeNAエンジニアのポータルサイト

技術を活かし、新しい価値を創造する DeNAのエンジニアは、想像を超えるDelightを届けるために何ができるかを考え、技術力と発想力で新しい価値を生み出しています。 多様な専門性を持ったエンジニアが切磋琢磨し、互いに刺激し合える環境や制度がさらなる成長へとつなげます。

[taketyan]

「MongoDB は SQL を使わないから SQL インジェクション不可能」なんて言われてたけど同じ原理が応用できそうだな

[nrtm]

プレースホルダにも型指定があるといいのかなぁｗ '不正なJSONデータによるSQL Injectionへの対策について (Json.pm+SQLクエリビルダー) — Mobage Developers Blog'

[pochi-p]

やっぱりプレースホルダって型指定出来た方が良いよね。少なくともSQLを記述した時点でSQL側の型は確定するんだし。

[kfly8]

なるほど。。すると、使い勝手の為の、foo => Str|ArrayRef って、Validatorあんまり良くないかもな。。

[yujiorama]

"ここで説明するJSON SQL Injectionは、パラメータの値ではなく型により解釈が異なってくるケースで発生するもの"

[JULY]

JSON のパーサで得られた構造にリファレスがある場合、SQL::Maker に渡すと SQL Injection を引き起こす可能性がある、という話。

[nobuoka]

なるほど...。

[Jxck]

なるほど。確かに、脆弱性とはいいにくいなぁ。正しく使えてないアプリで脆弱性が起こるパターンか。

[causeless]

"@kazuho “不正なJSONデータによるSQL Injectionへの対策について (Json.pm+SQLクエリビルダー) — Mobage Developers Blo…" via https://twitter.com/kazuho/status/484531578236710914