flawopen.com/SQL Injection in PHP/Doctrine ORM

Doctrine ORMはSQLインジェクションを防げますか？

$em->createQuery(
  "SELECT u FROM User u "
  . "WHERE u.id = $userId"
);

$qb->select('u')
  ->from('User', 'u')
  ->where('u.id = :id')
  ->setParameter('id', $userId);

バインド値ではクエリ構造を守れない

setParameter() はDQLの値をバインドし、Doctrineはクエリ文字列と分離したSQLパラメーターに変換します。createQuery() に入力を連結すると保護を迂回します。ネイティブSQLも同様です。Connection::executeQuery() はプレースホルダーと値配列を使えば安全ですが、SQL文字列に入力を埋め込むと危険です。

パラメーターで識別子は置き換えられない

プレースホルダーが表すのは値であり、DQL識別子、SQL列・テーブル名、演算子、ソート方向ではありません。ORMのセキュリティ資料は、QueryBuilderの式APIにユーザー入力を渡すとDQLインジェクションが起き得ると警告しています。式は信頼できるコードに置き、ソート候補は厳密な許可リストから選んでください。

$qb->orderBy(
  'u.' . $request->query->get('sort'),
  $request->query->get('direction')
);

$fields = [
    'name' => 'u.name',
    'created' => 'u.createdAt',
];
$directions = ['asc' => 'ASC', 'desc' => 'DESC'];

$key = (string) $request->query->get('sort', 'name');
$sort = $fields[$key] ?? $fields['name'];
$requestedDirection = strtolower(
    (string) $request->query->get('direction', 'asc')
);
$direction = $directions[$requestedDirection] ?? 'ASC';

$qb->orderBy($sort, $direction);

• ✓外部値はすべて setParameter() またはDBALのプレースホルダーで渡し、DQL/SQLに連結しないでください。
• ✓QueryBuilderの式APIとDQL断片はコードとして扱います。フィールド、順序、演算子、関数は許可リストで制限してください。
• ✓ネイティブSQLにはプレースホルダー付きの executeQuery($sql, $params) または executeStatement($sql, $params) を使います。
• ✓データフローとクエリ構造の両方を確認します。パラメーター化しても未許可レコードを公開する可能性があるため、認可を別途実施してください。

コードベースの確認方法

参考資料

• Doctrine ORM — QueryBuilderのパラメーター
• Doctrine ORM — セキュリティ
• Doctrine DBAL — プリペアドクエリとパラメーター
• FlawOpen — PHPのSQLインジェクション