SQLインジェクションとは？仕組みと対策をコード例で解説

SQLインジェクションは、外部から渡された値がSQL文の一部として解釈され、データベースを想定外に操作されてしまう脆弱性です。原因は、入力値を文字列連結でSQL文に組み込むことにあります。対策の基本は、すべてのSQL文をプレースホルダで組み立てることです。

SQLインジェクションとは

アプリケーションがデータベースに問い合わせるとき、検索語やIDなどの入力値をSQL文に組み込みます。このとき入力値がデータではなく命令として解釈されると、開発者が意図していない処理が実行されます。

IPAは、データベースを使うWebアプリケーションであれば、運営主体や性質を問わず起こりうる問題だとしています。個人情報などの重要な情報をデータベースに置いているサイトは特に注意が必要です。

OWASP Top 10:2025では、SQLインジェクション（CWE-89）はA05「Injection」に含まれます。OWASPはXSSを「頻度が高く影響が小さい」、SQLインジェクションを「頻度が低く影響が大きい」ものとして対比しています。Top 10全体はOWASP Top 10の解説にまとめています。

起こりうる被害

IPAの「安全なウェブサイトの作り方」は、発生しうる脅威として次を挙げています。データの閲覧だけで終わらない点が重要です。

脆弱なコードと安全なコード

問題になるのは、入力値を文字列連結でSQL文に組み込むコードです。次の例では、入力値の中に特別な意味を持つ記号があると、SQL文の構造そのものが変わってしまいます。

// 脆弱な例：入力値を文字列連結している
const text = "SELECT id, name FROM users WHERE email = '" + email + "'";
const result = await client.query(text);

プレースホルダを使うと、SQL文の形と値が分かれます。次はNode.jsのPostgreSQLクライアント（node-postgres）の例です。公式ドキュメントも、値を文字列連結でクエリに入れるのを避けるよう案内しています。

// 安全な例：値はプレースホルダで渡す
const text = "SELECT id, name FROM users WHERE email = $1";
const result = await client.query(text, [email]);

主な対策

IPAは、根本的な解決と、被害を抑える保険的な対策を分けて示しています。まず根本的な解決を済ませ、そのうえで保険的な対策を重ねます。

1. SQL文はすべてプレースホルダで組み立てる

   IPAが最初に挙げる根本的な解決です。プレースホルダには、データベース側で値を割り当てる「静的プレースホルダ」と、接続ライブラリ内でエスケープしてはめ込む「動的プレースホルダ」があります。どちらでも脆弱性は解消できますが、原理的に可能性がなくなる点で静的プレースホルダが優るとIPAは説明しています。

2. パラメータにSQL文をそのまま持たせない

   hiddenパラメータなどにSQL文を入れて受け渡す実装は、値を改変されると不正に利用されるおそれがあります。

3. エラーの詳細を画面に出さない

   データベースの種類やSQL文を含むエラーメッセージは、攻撃の手がかりになります。ブラウザには表示せず、サーバー側のログに残します。

4. データベースアカウントの権限を絞る

   接続に使うアカウントには必要最小限の権限だけを与えます。OWASPは、これは攻撃を防ぐものではなく、被害の範囲を小さくするものだと説明しています。管理者権限でアプリケーションを接続しないでください。

プレースホルダだけでは足りない場面

プレースホルダで置き換えられるのは値だけです。OWASPは、テーブル名、列名、並び順の指定にはパラメータを使えないとして、アプリケーション側で持つ固定の選択肢に対応づけ、それ以外は拒否する方法を示しています。

// 画面からの指定を、固定の列名に対応づける
const sortColumns = new Map([
  ["newest", "created_at"],
  ["name", "name"],
]);

const column = sortColumns.get(sort);
if (column === undefined) {
  return res.status(400).send("Bad Request");
}

const text = `SELECT id, name FROM users ORDER BY ${column}`;
const result = await client.query(text);

ここで文字列に組み込んでいるのは入力値ではなく、コードの中に書かれた列名だけです。

既存のコードについては、OWASPが挙げるようにソースコードレビューと、静的解析（SAST）・動的解析（DAST）などのテストツールをCI/CDに組み込む方法があります。

よくある質問