SQL インジェクション

なぜ起きるのか：データと命令が混ざる

問題の根は「文字列連結で SQL を組み立てている」一点に尽きます。次のコードは、ユーザー名で会員を1件引くつもりの典型的な脆弱コードです。

// ❌ 脆弱：入力をそのまま文字列に連結している
const name = req.query.name; // 例: ユーザーが入力した値
const sql = "SELECT * FROM users WHERE name = '" + name + "'";
db.query(sql);

name が alice なら、組み上がる SQL は ... WHERE name = 'alice' で問題ありません。ところが攻撃者が name に ' OR '1'='1 を入れると、SQL はこう変わります。

-- 攻撃者の入力で組み上がってしまう SQL
SELECT * FROM users WHERE name = '' OR '1'='1'

'1'='1' は常に真なので、WHERE の条件が無効化され、全ユーザーが返ります。プログラムは「名前という値を渡した」つもりでも、DB から見れば「条件式を書き換える命令」が届いている。入力（データ）のはずのものが、SQL の構文（命令）として効いてしまう——これが SQL インジェクションの正体です。

何が危険か：3つの攻撃パターン

「ただ1件多く返るだけ」では済みません。混ぜ込める断片次第で、被害の質が変わります。

特にログイン回避は、認証の議論で前提にしている「パスワード照合」そのものを飛び越えます。次は典型的な脆弱ログインです。

// ❌ 脆弱：ログイン判定の SQL に入力を連結
const sql =
  "SELECT * FROM users WHERE id = '" + id + "' AND pw = '" + pw + "'";
// 攻撃者が id 欄に  admin' --  を入力すると…

id に admin' -- を入れると、-- 以降はコメント扱いになり、AND pw = ... の条件が丸ごと消えます。

SELECT * FROM users WHERE id = 'admin' --' AND pw = '(なんでも)'

パスワードを一切知らなくても admin でログインできてしまう。Cookie やセッションで認証状態をどれだけ厳密に管理しても、入口の SQL が破れていれば意味がありません。

本質的対策：プレースホルダで「値」として渡す

唯一にして最強の対策は、SQL の構文と、後から差し込む値を、最初から分離すること。これを実現するのが**プレースホルダ（プリペアドステートメント）**です。SQL 文には? や $1 といった「穴」だけを書いておき、値は別経路で渡します。

// ✅ 安全：プレースホルダで値を「データ」として渡す
const sql = "SELECT * FROM users WHERE id = ? AND pw = ?";
db.query(sql, [id, pw]); // 値は SQL とは別に渡される

ポイントは、DB は ? の中身を「構文」として解釈しないこと。id に admin' -- が来ても、それは「admin' -- という名前の文字列」として WHERE 条件の値に収まるだけで、コメントや OR として効くことはありません。文字列連結による「値が命令に化ける」経路そのものが断たれます。

プレースホルダで値は守れますが、テーブル名や列名、ORDER BY の対象はプレースホルダで渡せません（構文の一部だから）。これらを動的に変えたい場合は、あらかじめ用意した許可リスト（ホワイトリスト）に照合し、一致したものだけを使います。入力をそのまま列名に流してはいけません。

// ✅ 列名のような“構文部分”は許可リストで固定する
const allowed = { name: 'name', date: 'created_at' };
const col = allowed[req.query.sort] ?? 'created_at'; // 一致しなければ既定値
const sql = `SELECT * FROM users ORDER BY ${col}`;    // col は安全な定数のみ

多層防御：万一に備える最小権限

プレースホルダを徹底しても、コードのどこか1箇所で漏れる可能性はゼロにできません。そこで「破られても被害を最小化する」二段目として、最小権限が効きます。アプリが接続する DB ユーザーに、業務に必要な権限だけを与えるのです。

まとめ：覚えておくべき一行

SQL インジェクションは「入力を文字列連結で SQL に混ぜる」から起きる、古典的かつ今も多発する攻撃です。フィルタやエスケープで小手先に防ごうとすると必ず穴が残ります。