【実務・中級編】セキュアコーディングにおける「入力値のホワイトリスト方式」の徹底 – アプリケーションセキュリティ & 安全な開発防御ガイド

現場のエンジニア諸君。今日も「動けばいい」という甘い誘惑と戦っているか？

アプリケーションセキュリティの現場で、私はこれまで数え切れないほどの「やらかし」を見てきた。そのほとんどが、「攻撃者の創造性を過小評価した結果」だ。今日は、インジェクション攻撃の根幹を断つための「ホワイトリスト方式」について、建前抜きで深掘りする。

—

1. ブラックリスト方式は「ザル」であるという現実

まず、初心者がやりがちな「ブラックリスト方式（禁止文字の除外）」の限界を理解してほしい。
' OR 1=1 -- を弾くために