[ヅ] Java の PreparedStatement で MySQL の LIKE を扱う方法 (2007-09-01)

SQLインジェクション対策として PreparedStatement を使うのはいいけど、同時に like を使うときには注意しないといけない気がする。 ターゲットの DBMS は MySQL. エスケープ処理を自前でやりたくない理由 以上一般的なSQLにおけるエスケープ処理について説明したが，実は不十分な対策である。残念なことにデータベースエンジンごとにSQLが独自拡張されていて，特殊文字が「'」「\」以外にも存在する。 たとえばMySQLでは，「'」「\」に加えて次の文字も機能をもつ特殊文字として扱われる。 * 「\0」ナルバイト文字 * 「\n」改行文字 * 「\r」キャリッジリターン文字 * 「\z」ファイル終端文字（Windowsのみ） またMicrosoft のJetエンジンでは，次の文字も機能をもつ特殊文字として扱われる。 * 「|」VBAステートメント実行文字 IPA IS

[nilab]

ヅラッシュ！ - Java の PreparedStatement で MySQL の LIKE を扱う方法