-3

超初心者です。データベースに登録するのにシングルクオーテーションが入ってるとエラーが出ます。どうしたらシングルクォーテーションが有効にできますか?

3
  • 5
    実際のコードをお示しください。どのようなコードでその事象が発生しているかによって対応は変わってきます。
    – OOPer
    2017年7月17日 2:17
  • コードはこうです。private String escapeHtmlTags(String text){ text = text.replaceAll("<","&lt"); text = text.replaceAll(">","&gt"); text = text.replaceAll("\t"," "); text = text.replaceAll("\'","'"); return text; }
    – user24415
    2017年7月17日 3:15
  • 「データベースに登録する」部分がお示しのコードに含まれておりません。また回答を書くために必要な情報は、ご質問を編集してご質問内に含めていただくようにお願いします。(「編集」機能をおためしください。)
    – OOPer
    2017年7月17日 3:18

1 件の回答 1

4
sql = "SELECT * FROM tbl WHERE name = '" + param +"'";

こういうコードで、paramにシングルクオーテーションを含んだ文字列、例えば123'456が入っていると、生成されるSQLは

SELECT * FROM tble WHERE name = '123'456'

となってしまい構文エラーとなります。文字列連結ではなくformatを使った場合でも同様です。

構文エラーならいいのですが、param' OR 1だと意図しない結果を招きます。これがいわゆるSQLインジェクション脆弱性です。

これを防ぐには、

ー プレースホルダを用いたバインド機構を使う
- SQLを組み立てる際に文字列リテラルとして正しい形になるようエスケープする

のどちらかが必要です。

また、そのほかにもプログラムからRDBMSを利用するときには注意すべきことがありますので、まずはIPAの「安全なウェブサイトの作り方」 (https://www.ipa.go.jp/security/vuln/websecurity.html )の別冊、「安全なSQLの呼び出し方」を読んでみてください。

1
  • suzukis様、ご回答ありがとうございます!早速試してみます。書籍の方も読んでみます。ありがとうございました。
    – user24415
    2017年7月18日 5:49

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。