令和6年度 科目A 問10

✓ これが正解エプレースホルダを使って命令文を組み立てる。

解説

命令文の形を先に決めるプレースホルダが有効な対策です。

SQL インジェクションは、入力値に SQL 文の一部を紛れ込ませ、組み立てられる命令文の意味を書き換えてしまう攻撃です。プレースホルダを使う方法では、命令文の形を先に決めておき、入力値はあとから値としてだけ当てはめます。入力値が SQL の構文として解釈されないので、命令文の意味を変えられることを防げます。残りの三つは、URL の出力、ファイル名の指定、スタイルシートの取込みに関する対策で、どれも別の攻撃に向けたものです。対策が守っているのがデータベースへの命令文かどうか、で見分けます。

ほかの選択肢はなぜ違うのか

• アURL を Web ページに出力するとき…：Web ページに出力する URL を http:// や https:// で始まるものに限るのは、スクリプトを動かす URL を埋め込まれることへの備えで、クロスサイトスクリプティング対策の一つです。データベースへの命令文は守れません。
• イ外部からのパラメータで Web サーバ内…：外部から渡された値でサーバ内のファイル名を直接指定しないのは、上位のディレクトリをたどって本来見せないファイルを読まれる、ディレクトリトラバーサルへの対策です。SQL 文の組立てとは関係しません。
• ウスタイルシートを任意の Web サイトか…：スタイルシートを任意のサイトから取り込めないようにするのは、外部のスタイルシートを通じて不正な処理を仕込まれることへの備えで、クロスサイトスクリプティング対策として挙げられるものです。SQL 文の改変は防げません。