こんにちは。セキュリティの世界へようこそ。
日々、コードと向き合う皆さんの努力には敬意を表します。さて、今日はDjangoという非常に優秀なWebフレームワークを使いながら、「なぜかセキュリティの穴が開いてしまう」という悲劇を防ぐための、少しだけ深掘りしたお話をしましょう。
インジェクション攻撃。名前は強そうですが、要は「泥棒が合い鍵を勝手に作って、家の金庫をこじ開ける行為」です。一緒に紐解いていきましょう。
—
1. Django ORMは「自動警備員」のようなもの
Djangoの最大の強みは、標準のORM（Object-Relational Mapper）が優秀な「自動警備員」を雇っているようなものだということです。
私たちが「このユーザーを探して！」とORMに頼むとき、Djangoは裏でSQLというデータベース言語を組み立てます。このとき、Djangoは「入力された値の中に、悪意ある命令が混ざっていないか？」を自動的にチェックし、適切に無力化（エスケープ）してくれます。
つまり、普段皆さんが書いている User.objects.filter(username=input_name) というコードは、泥棒が「家ごと壊してくれ」という命令を書き込んでも、Djangoが「あ、これはただの『名前』という文字列ですね。壊す命令ではありません」と翻訳し、安全を守ってくれている状態なんです。
2. 禁断の「raw()」メソッドは、警備員を追い出す行為
しかし、開発をしていると「どうしても複雑なSQLを直接書きたい！」という瞬間が訪れます。そこで登場するのが raw() メソッドです。
このメソッドを使うということは、「自動警備員をクビにして、自分で玄関の鍵を開け放つ」ことと同じです。ここで不用意な書き方をすると、攻撃者は入力フォームにSQL命令を紛れ込ませる「インジェクション」を仕掛けてきます。
やってはいけない「危険な書き方」
絶対にダメ！警備員を追い出した状態
user_input = “hacker’; DROP TABLE users; –”
悪意ある文字列をそのままSQLに埋め込んでしまう
users = User.objects.raw(f”SELECT FROM myapp_user WHERE name = ‘{user_input}'”)
このコードを実行した瞬間、データベースは「名前を探す」のではなく、「ユーザーテーブルを消去する」という命令を実行してしまいます。これがSQLインジェクションの正体です。
3. 「パラメーター化クエリ」という鉄のルール
では、どうすれば安全に書けるのでしょうか？
答えは簡単です。「入力値と命令を混ぜない」ことです。
Djangoの raw() メソッドには、第2引数に「値を渡すための専用スロット」が用意されています。これを使うことで、Djangoは入力値を「命令」ではなく「ただのデータ」として安全に扱うことができます。
安全な実装パターン
これが正しい作法です
user_input = “hacker”
命令（SQL）とデータ（params）を完全に分離する
%s はプレースホルダー（データの入れ物）です
query = “SELECT FROM myapp_user WHERE name = %s”
params = [user_input]
安全にクエリを実行
users = User.objects.raw(query, params)
この書き方なら、たとえ user_input に DROP TABLE のような悪意ある文字列が入っていても、システムはそれを「hacker'; DROP TABLE... という名前のユーザー」を探そうとするだけで、データベースが破壊されることはありません。
4. 現場のセキュリティ担当者からのアドバイス
「じゃあ、raw() を使わなければ安全なの？」と聞かれたら、私は「可能な限り使わないのがベスト」だと答えます。
1. ORMの機能を使い倒す: Djangoの filter() や annotate() などで解決できないか、もう一度ドキュメントを読み返してみてください。実は、生のSQLが必要なケースは驚くほど少ないものです。
2. 「入力はすべて悪意がある」と疑う: どんなに信頼できるユーザーからの入力でも、Web上のデータは常に改ざんされる可能性があります。
3. 静的解析ツールを導入する: Bandit のようなツールを使えば、コード内の「危険なSQLの書き方」を自動で指摘してくれます。これも優秀な警備員の一人です。
最後に：セキュリティは「完璧」を目指さなくていい
最後に一つだけ。セキュリティ対策は、一度やって終わりではありません。
「今日は一つ、泥棒の侵入経路を塞げたな」と、日々の開発の中で少しずつ防犯意識を積み上げていくことが、結果として最強のセキュリティになります。
皆さんが書いたそのコードが、誰かの大切な情報を守る盾になる。そう思うと、少しだけSQLを書く手が慎重になりませんか？
これからも、安全で素晴らしいサービスを作り上げてくださいね。応援しています。
コメント