SQLインジェクションについて

質問

SQLインジェクション対策についてご質問があります。

SQLを入力してそのまま実行するプログラムを作ろうとしています。
ユーザーが入力したSQLをプログラム側でSQLインジェクションを含むかどうかの判定が
できるようにしたいのですが、可能なのでしょうか？

よろしくお願い致します。

回答No.1

notnot

＞SQLを入力してそのまま実行するプログラムを作ろうとしています。
＞ユーザーが入力したSQLをプログラム側でSQLインジェクションを含むかどうかの判定が
＞できるようにしたいのですが、可能なのでしょうか？

言葉の意味としては、不可能です。

ユーザにデータを入力させたつもりが、データの中にSQL命令を埋め込まれて実行される

というのが、SQLインジェクションです。
ユーザにSQL命令を入力させてそのSQLを実行させるなら、SQLインジェクション対策以前の問題。
あなたはSQL実行をさせるプログラムを作ろうとしている訳なので、SQLインジェクション防止技術をつかうと、SQLを実行できなくなってしまいます。

何をさせたくて何をさせたくないかをきちんと決めて、そのさせたくないことをさせないようにプログラムします。もしくはアクセス権限で縛るか。