本当にプリペアードクエリだけを使っていますか?

‘SELECT ‘.pg_escape_idetifier($_GET[‘col’]).’ WHERE ‘.pg_escape_identifier(‘tbl’).’ ORDER BY ‘.pg_escape_ideti… 続きを読む 本当にプリペアードクエリだけを使っていますか?

SQLインジェクション対策 総”習”編 – 第五回関西DB勉強会

第五回 関西DB勉強会でお話しさせて頂いた SQLインジェクション対策 総”習”編 の公開用資料をSlideShareにアップロードしました。私のセッションを気に入って頂けた方が多かったようで何よりです。 関西… 続きを読む SQLインジェクション対策 総”習”編 – 第五回関西DB勉強会

SQL識別子のエスケープ

SQLの識別子(テーブル名やフィールド名)はプリペアードクエリではエスケープできません。最近の開発者はSQLの”パラメーター”には注意を払うようになったので、SQLパラメーターによるSQLインジェクションはか… 続きを読む SQL識別子のエスケープ

そもそもエスケープとは何なのか?

まずエスケープ処理について全て書こう、ということでPHP Securityカテゴリで様々なエスケープ処理について書いてきました。しかし、「エスケープ処理とは何か?」を解説していなかったので解説します。 エスケープ処理は文… 続きを読む そもそもエスケープとは何なのか?