flawopen.com/SQLインジェクション/Javascript

SQLインジェクション in Javascript

このページの主要用語

テンプレートリテラル

バッククォート (`...`) 内で変数を展開する記法。SQL文字列の組み立てに使うと文字列連結と同じ脆弱性を引き起こします。

何が起きているか

ユーザー入力をそのままSQL文字列に結合すると、意図しないSQL構文が実行されます。Node.jsでは日常的に使われるテンプレートリテラルが最大の原因です。

実際の被害事例

脆弱なコード vs 安全なコード

// userId comes straight from request query
async function getUser(pool, userId) {
  const query = `SELECT * FROM users
    WHERE id = ${userId}`;
  const [rows] = await pool.query(query);
  return rows[0];
}

// value is passed separately, never inlined
async function getUser(pool, userId) {
  const [rows] = await pool.query(
    'SELECT * FROM users WHERE id = ?',
    [userId]
  );
  return rows[0];
}

なぜ対策コードで防げるのか

プレースホルダーを用いることで、DBエンジンが構文木を確定させた後にパラメータ値だけを安全にバインドします。

言語固有の落とし穴

よくある誤解

影響の有無を確認する方法

防止チェックリスト

• ✓変数は必ず配列としてpool.query()の第2引数に渡す
• ✓SQL組み立てにテンプレートリテラルを使用しない

よくある質問 (FAQ)

参考資料

• CWE-89: SQLインジェクション
• mysql2 documentation — Prepared Statements
• node-postgres (pg) — Parameterized queries