テクノロジ系 / セキュリティ
SQLインジェクション
SQLインジェクションは、入力値に不正なSQLを混ぜ、データベースを意図しない形で操作させる攻撃です。
別名・関連表記：SQL Injection
もう少し詳しく
ログインフォームや検索欄などの入力値をSQL文に直接連結すると、攻撃者がSQLの構文を混ぜ込んで認証回避、情報漏えい、データ改ざんを狙えます。対策はプレースホルダを使ったパラメタ化クエリ、入力値検証、DB権限の最小化などです。
試験での見方
ID欄に通常のIDではなくSQLの条件式を混ぜると、脆弱なプログラムではWHERE句の意味が変わり、不正ログインにつながることがあります。
FEでは、利用者入力がSQL文の一部として実行される危険、対策としてプレースホルダやエスケープ処理を選ばせる問題で出ます。