超初心者です。データベースに登録するのにシングルクオーテーションが入ってるとエラーが出ます。どうしたらシングルクォーテーションが有効にできますか?
-
5実際のコードをお示しください。どのようなコードでその事象が発生しているかによって対応は変わってきます。– OOPer2017年7月17日 2:17
-
コードはこうです。private String escapeHtmlTags(String text){ text = text.replaceAll("<","<"); text = text.replaceAll(">",">"); text = text.replaceAll("\t"," "); text = text.replaceAll("\'","'"); return text; }– user244152017年7月17日 3:15
-
「データベースに登録する」部分がお示しのコードに含まれておりません。また回答を書くために必要な情報は、ご質問を編集してご質問内に含めていただくようにお願いします。(「編集」機能をおためしください。)– OOPer2017年7月17日 3:18
コメントを追加
|
1 件の回答
sql = "SELECT * FROM tbl WHERE name = '" + param +"'";
こういうコードで、param
にシングルクオーテーションを含んだ文字列、例えば123'456
が入っていると、生成されるSQLは
SELECT * FROM tble WHERE name = '123'456'
となってしまい構文エラーとなります。文字列連結ではなくformat
を使った場合でも同様です。
構文エラーならいいのですが、param
が' OR 1
だと意図しない結果を招きます。これがいわゆるSQLインジェクション脆弱性です。
これを防ぐには、
ー プレースホルダを用いたバインド機構を使う
- SQLを組み立てる際に文字列リテラルとして正しい形になるようエスケープする
のどちらかが必要です。
また、そのほかにもプログラムからRDBMSを利用するときには注意すべきことがありますので、まずはIPAの「安全なウェブサイトの作り方」 (https://www.ipa.go.jp/security/vuln/websecurity.html )の別冊、「安全なSQLの呼び出し方」を読んでみてください。