こんにちは。
回答1
普通に変数にしたら出来たのですが、これは普通のやり方でしょうか?
普通ではありません。$areaは引用符で囲っていないということは、数値でしょうか。その場合、例えば以下のようにします。数値の場合は、バインドする値をintなどにキャストするほうがいいです。
$ps=$db->prepare("SELECT id, name, time FROM user WHERE user = :area ORDER BY $order $desc");
$ps->bindValue(':area', (int)$area, PDO::PARAM_INT);
$ps->execute();
回答2
$area, $order, $descをGET送信で受け取る場合、SQLインジェクションなどのセキュリティ上の問題は発生するのでしょうか。
自分で試したところ、問題なさそうだったのですが。。。
そんなことはありません。攻撃はできます。以下、プレースホルダを使っていない元のスクリプトを前提します。
まず、$areaに以下のように UNION を使って別のテーブルを指定できます。
$area = "0 UNION SELECT 0, concat(id, ':', pwd), 0 FROM users #";
id列とtime列は文字列型でないと仮定しました。すると、実行されるSQL文は下記となります。
SELECT id, name, time FROM user WHERE user = 0 UNION SELECT 0, concat(id, ':', pwd), 0 FROM users # ORDER BY time asc
以下のように、別テーブルからIDとパスワードを読み出すことができます。
0 alice:123456 0
0 bob:dusifudos 0
0 carol:password 0
次に、PDO+MySQLであれば、以下のように複文を指定できます。
$area = "0; DELETE FROM user #";
呼び出されるSQL文は下記のようになり、userテーブルの行がすべて削除されます。
SELECT id, name, time FROM user WHERE user = 0; DELETE FROM user # ORDER BY time asc
また、$orderや$descを使った攻撃は少し難しくなりますが、先ほど同様に複文を使った攻撃は可能です。また、ORDER BYの後には式が書けることから、その式を複雑に変化させることにより攻撃は可能です。以下のスライドでは、その方法を説明していますが、ややこしい攻撃なので理解が難しいかもしれません。
Rails SQL Injection Examplesの紹介
あるいは、ブラインドSQLインジェクションという方法も可能です。ブラインドSQLインジェクションについては以下のブログ記事を参照下さい。
ブラインドSQLインジェクションのスクリプトをPHPで書いたよ
対策ですが、$areaについてはプレースホルダを使うこと。$orderと$descはとり得る値は決まっているため、それをホワイトリストとしてバリデーションすることで対策になります。