SQLインジェクションのサンプルが動かない - ockeghem's blog

前回に引き続き、はじめてのPHPプログラミング 基本編5.3対応のゆるいところ第四段は、SQLインジェクションのサンプルについてだ。 本書にはプログラミングの入門書としては珍しくSQLインジェクションの説明がある。それはよいことなのだが、P242の以下の記述には少し問題がある。 また、「'; UPDATE addressbook SET address = '北海道」という文字列が代入されていたら…。お分かりですね。次のようなSQLになり、すべての住所が書き換えられてしまいます。 SELECT name, address FROM addressbook WHERE id = ''; UPDATE addressbook SET address = '北海道'「はじめてのPHPプログラミング基本編5.3対応」P242より引用 SQLのSELECT文とUPDATE文がセミコロンで区切られてい

[tohokuaiki]

shimookaさんPostgresを念頭に置いてたのかなー。

[Kiske]

＞いい加減なSQLインジェクションのサンプルを紹介し続けてきた「セキュリティの専門家」の罪ともいえると私は考えている。