IPAの「安全なSQLの呼び出し方」が安全になっていた

(Last Updated On: 2018年8月4日)IPAは「安全なSQLの呼び出し方」（PDF）を以下のURLから公開しています。 http://www.ipa.go.jp/security/vuln/websecurity.html 「安全なSQLの呼び出し方」は危険である、とするエントリを書こうかと思い、内容を確認するとそうでもありませんでした。 訂正：ツイッターで徳丸氏に確認したところ、徳丸氏もエスケープを含めたSQLインジェクション対策が必要であると考えられていた、ことを確認しました。徳丸氏にはセキュリティ専門家として大変不名誉な記述であった事を訂正し、深くお詫びいたします。内容についての修正は、識別子エスケープについてブログに書くとの事でしたのでブログの内容を確認してから修正します。 別冊の「安全なSQLの呼び出し方」は基本中の基本である「正確なテキストの組み立て」によるセ

[pmakino]

https://twitter.com/hasegawayosuke/status/408388988865507328 とあわせて読むとじわじわくる>「古い…は…はっきり言うと有害でした」「しかし、今の…は…安全な解説書になっています」

[gazi4]

徳丸氏のGoogle+で共有されている2010年度版のアーカイブ http://goo.gl/Nxk6yK ／徳丸氏によるまとめ http://goo.gl/zpv1dx

[khtno73]

『プリペアードクエリ（プレイスホルダ）さえ使えば良い」と誤った認識』そう？表や列の編集を伴うような、識別子使う作業を外部公開のWebアプリでやる運用がある時点で、そもそも正しい設計か疑わしい気も。

[kits]

「出ていなかった旧版に対する批判」との指摘: http://twitmatome.bogus.jp/archives/18681

[k-holy]

識別子のエスケープについても教科書としては解説すべきでしょう。DB抽象化クラスを書くような開発者以外でも、CMSのプラグイン等でフォームからテーブル作成するような物もありそうだし

[kazuhooku]

ですよね。基本プリペアードクエリで良いということ > 「エスケープ処理を省略できるAPIが用意されている場合が〜これらのAPIの利用を推奨して構わない〜その良い例がプリペアードクエリ」 / 改訂は知らん

[cubed-l]

知るかぎり公開後改訂なんてしてない。改訂されればその旨記載されるだろうし

[Itisango]

“IPAは「安全なSQLの呼び出し方」（PDF）を以下のURLから公開しています。” http://www.ipa.go.jp/security/vuln/websecurity.html

[kazuyadesse]

( ´ ▽ ` )ﾉ

[asuka0801]

見て見たけど特に変わってはいないような

[ghostbass]

ああ、そういう…

[m_shige1979]

当時は安全じゃなかったのかな？