「ORMを使っているからSQLインジェクションは大丈夫」は本当？現場のプロが教える安全な開発の極意
こんにちは。現場で泥臭いインシデント対応をしていると、「ORM（HibernateやEntity Frameworkなど）を使っているからSQLインジェクションは完璧に防げているはず」という誤解に度々遭遇します。
実は、ORMは魔法の杖ではありません。 使いどころを間違えると、玄関の鍵を閉めたつもりで、裏口の窓を全開にしているのと同じ状態になってしまうのです。今日は、新人のエンジニアの方に向けて、ORMとSQLの付き合い方を「家を守る防犯」に例えてお話ししますね。
—
1. ORMってそもそも何？（家を守る「自動ロックシステム」）
ORMは、データベース操作をプログラミング言語のオブジェクトとして扱えるようにしてくれる便利な仕組みです。
これを「家の自動ロックシステム」に例えてみましょう。普段、皆さんが「user.save()」や「findByName()」と書いているとき、裏側ではシステムが自動的に「玄関の鍵を閉める」という安全な手順を踏んでくれています。これがプリペアドステートメントという仕組みです。
プリペアドステートメントのすごさ
プリペアドステートメントは、「空欄のある注文票」を先にデータベースに渡しておくイメージです。
1. 「名前が『〇〇』の人を探す」というひな形を先に送る。
2. 後から届いた名前データ（ユーザーの入力）を、ただの文字としてその枠にはめ込む。
こうすれば、悪意のある人が「名前」の欄に「管理者権限を奪う命令」を書き込んでも、データベースはそれを命令として実行せず、「『管理者権限を奪う命令』という名前のユーザーを探す」だけで終わります。これなら安心ですよね。
—
2. なぜ「生のSQL（ネイティブクエリ）」が危険なのか？
しかし、開発を進めていると「複雑な検索をしたいから、生のSQLを書きたい」という場面が出てきます。ここで皆さんがやりがちなのが、文字列を直接つなぎ合わせてSQLを作る方法です。
// 危険な例：文字列を直接くっつけている（絶対にやめましょう！）
String query = “SELECT FROM users WHERE name = ‘” + userName + “‘”;
entityManager.createNativeQuery(query).getResultList();
これは、「空欄のない注文票」を自分で手書きして、見知らぬ泥棒に手渡すのと同じです。もし泥棒が admin' OR '1'='1 という魔法の言葉を名前に紛れ込ませたら、データベースは「全員が管理者だ」と勘違いして、家のドアを全開にしてしまいます。これがSQLインジェクションの恐ろしさです。
—
3. 安全にネイティブクエリを実行する「作法」
「どうしても生のSQLが必要」という場合でも、防犯対策はできます。ORMの機能を使って、「自分で書いたSQLにも空欄（プレースホルダー）を作る」のです。
Hibernate (Java) の場合
// 安全な例：名前付きパラメータを使用する
String sql = “SELECT FROM users WHERE name = :name”; // :name が空欄の代わり
entityManager.createNativeQuery(sql, User.class)
.setParameter(“name”, userName) // ここで安全にデータをはめ込む
.getResultList();
Entity Framework (C#) の場合
// 安全な例：FromSqlInterpolated を使う
var name = “田中”;
// $ を使うことで、安全にパラメータ化してくれます
context.Users.FromSqlInterpolated($”SELECT FROM Users WHERE Name = {name}”)
.ToList();
このように、「自分で文字列を結合しない」こと。これが守られていれば、どんなに複雑なクエリでも泥棒は侵入できません。
—
4. 今日からできる「守りの姿勢」
最後に、皆さんが現場で意識すべき「3つの鉄則」をまとめました。
1. 「魔法の機能」に頼りすぎない： ORMの標準メソッドだけで解決できないか、まずは設計を見直しましょう。
2. 生のSQLは「伝家の宝刀」： 最終手段として使うときは、必ずプレースホルダー（:name や {parameter}）を使いましょう。文字列連結を見つけたら、それは「脆弱性の芽」です。
3. 入力値を疑う： ユーザーから送られてくるデータは、泥棒が持ってきた「偽造された鍵」かもしれない。常にそう思って、入力を扱うときは慎重になりましょう。
—
おわりに
セキュリティは、一度学んで終わりではありません。日々の小さな「丁寧なコード」の積み重ねが、何万人ものユーザーの個人情報を守ることにつながります。
最初は難しく感じるかもしれませんが、大丈夫。一歩ずつ、安全な書き方を身につけていきましょう！何か不明な点があれば、いつでも聞きに来てくださいね。皆さんの開発ライフが、安全で楽しいものになりますように。
コメント