令和3年度 春期 午前Ⅱ 問12

✓ これが正解アSQL インジェクション ／ SQL 文の組立てに静的プレースホルダを使用する。

解説

SQL インジェクションには、静的プレースホルダで SQL 文を組み立てます。

静的プレースホルダは、SQL 文の構造をあらかじめ確定させてから、利用者の入力を値として当てはめる方法です。入力の中に SQL の記号が含まれていても、文の一部として解釈されることがありません。そのため、SQL インジェクションへの根本的な対策になります。この問では、攻撃の名前と対策の組が正しく対応しているかを確かめます。対策の欄が、その攻撃を本当に防ぐ方向に働くかどうかが判断の軸です。

ほかの選択肢はなぜ違うのか

• イクロスサイトスクリプティング ／ 任意の…：任意の外部サイトのスタイルシートを取り込めるようにすると、外部から持ち込まれる内容を制御できなくなり、かえって攻撃の入口を広げます。クロスサイトスクリプティングへの対策とは逆の方向です。
• ウクロスサイトリクエストフォージェリ ／ …：リクエストに GET メソッドを使っても、クロスサイトリクエストフォージェリは防げません。対策としては、推測されにくいトークンをページに埋め込んで確かめる方法や、重要な操作の前の再認証が挙げられます。
• エセッションハイジャック ／ 利用者ごとに…：利用者ごとに固定のセッション ID を使うと、一度盗まれたり推測されたりした ID で乗っ取られ続けてしまいます。推測されにくい ID をログインのたびに振り直すのが対策であり、セッションハイジャックを防ぐ組ではありません。