PDO＋SQLITEでのインジェクション対策について

質問

こんばんは。
いつもお世話になっております。

PDO+SQLITEで現在以下のようにbindValueを用いてクエリを発行しているのですが・・・
-
$sql = $connect->prepare("INSERT INTO test_tbl(name) VALUES(:name");
$sql->bindValue(":name", $_POST["name"]);
$sql->execute();
-
$_POST["name"]の値をbindValueに移すだけでそのままINSERTしていますが、これだけでインジェクション対策はOKなのでしょうか？
他にも注意したほうが良い事があれば教えて下さい。

回答No.1

noname#243182 · ベストアンサー

スーパーグローバルの値は何らかの検証済みであり、簡単のため、オプションの指定などははしょってあると読みました。

SQLインジェクション対策としてはエスケープ処理が正しく行われていればよいということなので、バインド機構を使ったこの方法でOKだと思います。

入力の文字コードを変えながら「PDO::quote()」にてエスケープ処理をしてみましたが、失敗するパターンを見つけることが出来ませんでした。

MySQLであれば、適切なエスケープ処理のために接続の文字コードを気にしなければならないのですが、SQLiteはよく分かりません。

少ない検証の結果報告に過ぎませんので、アドバイスで投稿します。

参考URL：

http://www.ipa.go.jp/security/vuln/websecurity.html

お礼

お返事遅くなってしまい、申し訳ございません。

>スーパーグローバルの値は何らかの検証済みであり
POSTやGETの値は項目ごとに正規表現などでチェックしています。

>入力の文字コードを変えながら「PDO::quote()」にてエスケープ処理をしてみましたが、失敗するパターンを見つけることが出来ませんでした。
わざわざ試して頂いたようで、本当にありがとうございます。

phpマニュアルのprepareの項をみていたのですが、「オプション」について言及されており、マニュアルを見ても良くわからなかったので少し調べてみます。
ありがとうございました！