「SQLインジェクション」はデジタル世界の空き巣だ！仕組みと対策を優しく解説します
こんにちは。現場で泥臭いインシデント対応を続けているセキュリティエンジニアです。
今日は、Web開発の世界で最も有名でありながら、いまだに被害が後を絶たない「SQLインジェクション」についてお話しします。難しそうに聞こえますが、実は私たちの身の回りにある「家の鍵」の仕組みに例えると、驚くほどスッキリ理解できるんですよ。
一歩ずつ、一緒に学んでいきましょう！
—
1. そもそもSQLインジェクションって何？
SQLインジェクションを例えるなら、「合鍵を使って、勝手に家の中の金庫まで開けられてしまう」ような攻撃です。
Webサイトの裏側には、ユーザー名やパスワード、顧客情報などをしまっておく「データベース」という大きな金庫があります。この金庫と会話するための言葉が「SQL」です。
本来、この会話は「管理人が決められた手順で行う」のがルールです。しかし、攻撃者は「入力欄」という隙間から、「私は管理者ですよ、この金庫を開けて！」という魔法の呪文（悪意あるコード）を忍び込ませます。 これがSQLインジェクションの正体です。
—
2. なぜ「魔法の呪文」が通ってしまうのか？
私たちが普段書いているプログラムで、やってしまいがちな失敗例を見てみましょう。
// 悪い例：入力値をそのまま文字列として繋げてしまっている
$id = $_GET[‘id’]; // ユーザーからの入力
$sql = “SELECT FROM users WHERE id = ‘” . $id . “‘”;
// もし、$id に ‘ OR ‘1’=’1 が入っていたら…
// データベースにはこう届きます：
// SELECT FROM users WHERE id = ” OR ‘1’=’1′
この最後の '1'='1' というのが、悪魔の囁きです。SQLの世界では「1は1である」という条件は常に「真（正しい）」と判断されます。その結果、データベースは「全員が正しいユーザーだ！」と勘違いして、金庫の中身をすべて見せてしまうのです。
データベースごとの「方言」に注意！
厄介なのは、データベース（MySQL、PostgreSQL、Oracleなど）によって、この「魔法の呪文」の解釈が微妙に違うことです。例えば、コメントアウトの記号や、文字列を区切るクォーテーションの扱いなど、「データベースという金庫ごとのクセ」を攻撃者は熟知しています。
だからこそ、私たちは「どのデータベースを使っていても安全な書き方」を選ぶ必要があるのです。
—
3. 「鍵」を守るための鉄則：プリペアドステートメント
では、どうすればこの空き巣を防げるのでしょうか？
答えは簡単。「命令とデータを明確に分ける」ことです。
これを専門用語で「プリペアドステートメント（準備された命令）」と呼びます。例えるなら、「あらかじめ金庫の開け方を予約しておき、後から届くデータは『ただの荷物』としてしか扱わない」という仕組みです。
安全なコードの書き方（PHPのPDO例）
// 安全な例：命令とデータを切り離す
$stmt = $pdo->prepare(“SELECT FROM users WHERE id = :id”);
// データを後から安全にセットする（たとえ悪意あるコードが入っていても、ただの文字列として処理されます）
$stmt->execute([‘id’ => $_GET[‘id’]]);
$user = $stmt->fetch();
これだけで、たとえ入力値に ' OR '1'='1 が入っていても、データベースはそれを「idという検索条件の一部」として処理するため、決して誤作動を起こしません。まるで、「どんなに怪しい合鍵を持っていても、そもそも鍵穴が受け付けない」ような状態を作るわけです。
—
4. 最後に：現場からのアドバイス
新人の皆さんに一番伝えたいのは、「入力を信用しない」という心構えです。
1. プリペアドステートメントを徹底する：これが基本中の基本。手書きのSQL連結は、今の時代「家を鍵開けっ放しで外出する」のと同じです。
2. エラーメッセージを画面に表示させない：データベースがエラーを起こしたとき、親切にも画面に「どのテーブルでエラーが出たか」を表示していませんか？それは泥棒に「この窓が壊れやすいですよ」と教えているようなものです。
3. WAF（Web Application Firewall）を導入する：Webサイトの入り口に警備員を置くようなものです。コードの書き換えと並行して、外側からの防御も固めましょう。
セキュリティは一度対策して終わりではありません。日々進化する脅威に対して、少しずつ、でも着実に知識をアップデートしていきましょうね。
皆さんが書いたコードが、世界中のユーザーの大切な情報を守る「頑丈な金庫」になりますように。応援しています！
コメント