flawopen.com/SQL Injection/ORM で十分？

ORM を使えば SQL インジェクションを防げるか

var sql = $"SELECT * FROM dbo.Blogs WHERE Url = '{url}'";
var rows = await context.Blogs
    .FromSqlRaw(sql)
    .ToListAsync();
// User text is inserted into SQL before execution.

var rows = await context.Blogs
    .FromSql($"SELECT * FROM dbo.Blogs WHERE Url = {url}")
    .ToListAsync();
// EF Core 7+: interpolation becomes a SQL parameter.

各 API における値の扱い

ORM のクエリビルダーと生 SQL API は同じセキュリティ境界ではありません。公式ドキュメントは、Django raw(sql, params)、実行パラメーターを分ける SQLAlchemy text()、Rails のプレースホルダー条件、EF Core 7 以降の FromSql / FromSqlInterpolated、GORM Raw(sql, args...)、Prisma のタグ付き $queryRaw で値を安全にバインドする方法を説明しています。API ごとに挙動は異なります。FromSqlRaw は値を別に渡せば安全ですが、ユーザー入力を SQL 文字列に挿入すると危険です。$queryRawUnsafe も値を別にバインドできますが、信頼できない文字列の連結は危険です。メソッド名だけでは値の扱いは分かりません。各 API の仕様に沿って値をバインドしてください。SQL 識別子やクエリ構造はパラメーター化できないため、アプリ管理の固定許可リストから選びます。詳細は各ガイドを参照してください。

「十分」が実際に要求すること

• ✓通常の値やフィルターには ORM のクエリビルダーを使う。
• ✓生 SQL では API の仕様に沿ってすべての値をバインドする。
• ✓動的識別子はアプリ管理の固定許可リストから選ぶ。SQL 構造はパラメーター化できない。
• ✓生クエリで文字列連結、補間、危険なメソッドを確認する。

FAQ

参考文献

• Django SQL クエリ
• SQLAlchemy DBAPI
• Rails Active Record
• EF Core SQL クエリ
• GORM セキュリティ
• Prisma 生クエリ
• Django ガイド
• SQLAlchemy ガイド
• Rails ガイド
• EF Core ガイド
• GORM ガイド
• Prisma ガイド