0

SQL文のORDER BYでabs()を用いた近似値の探索をしようとしています。
SQLインジェクション対策として、abs()をプレースホルダーとして渡すようにコーディングしましたが、%sの文字列がシングルクォーテーションで括られるためうまく動きませんでした。

    // 1
        // $keyは可変
        $abs = "abs(" . $key . " - 80)";
        $query = "SELECT * FROM $wpdb->hardness_table ORDER BY %s LIMIT 1";
        $sql = $wpdb->prepare($query,$abs);
        $rows = $wpdb->get_results($sql);
// SQL文が"SELECT * FROM $wpdb->hardness_table ORDER BY 'abs(abc - 80)' LIMIT 1" となる

やむを得ず下記のように直接文章内に変数を配置したら動きますが、warning文が出る状態です。

// 2
    $abs = "abs(" . $key . "- 80)";
    $query = "SELECT * FROM $wpdb->hardness_table ORDER BY $abs LIMIT 1";
    $sql = $wpdb->prepare($query);
    $rows = $wpdb->get_results($sql);

上記のようにプレースホルダーを用いた状態でabs()の計算をさせることは可能でしょうか。または2のコードのように直接書いても問題はないのでしょうか。
ご教示いただければと思います。

2
  • // 1でも// 2でも問題なのは、$absが文字列演算で作られている点です。プレースホルダーベースでSQLインジェクション対策を行いたいのであれば、たとえSQLの一部であっても文字列演算で作ってはいけません。その観点で、コメントに記載された// 1のSQL文を見ると、まるで$key'abs'と言う文字列が入っているかのように見えるのですが、$keyは実際にはどのような値をとるのでしょうか? 必ず整数値になるならそれを%dで埋め込むだけですが、任意のカラム名が文字列で入る可能性があると言うのでしたら、設計自体を根本的に変更しないといけないかもしれません。
    – OOPer
    Commented 2017年9月29日 11:07
  • コメントありがとうございます。$keyはハードコーディングされた配列からforeachを使って得たものになります。外部からの入力を配列と照合し、一致するものを$keyとして使用しております。
    – giraffy
    Commented 2017年10月1日 23:57

2 件の回答 2

0

プレースホルダは文字列や数値などのリテラルの代わりとして使います。したがって扱えるのは「値」のみです。関数やカラム名などの「識別子」は扱う事ができません。

SELECT * FROM hoge WHERE name = 'nantoka'

こういうSQLがあった時に、'nantoka'をプレースホルダで置き換えることはできますが、hogenameを置き換えることはできません。

識別子をSQLに組み込む時は文字列組み立ててやるしかありません。ただし、その場合でも任意の文字列を指定できるようなI/Fは避けるべきです。

  • ホワイトリストを持っておきそれと照合する
  • 外部から入力されるキーと、実際のカラム名などをテーブルを用いて変換する

などの対応が必要です。

3
  • ありがとうございます。現状、$keyは外部からの入力ではなく、ハードコーディングしている配列(cm、inch、feetのような配列名)を利用しています。おっしゃられている通りPOSTやGETの値をそのまま使わないのであれば、セキュリティ上大きな問題が無いという認識で良いのでしょうか。
    – giraffy
    Commented 2017年10月2日 0:02
  • 「外部入力をそのまま使わなければ安全」なのではなく、「あらかじめ安全だと確認されている文字列のみ使用する」と考えてください
    – suzukis
    Commented 2017年10月2日 0:42
  • ありがとうございます。確かに文字通り「ホワイト」リストである必要がありますね……大変勉強になりました。
    – giraffy
    Commented 2017年10月2日 0:53
0

そもそも$keyは何を想定されているのでしょうか? 質問文で言及されていませんがカラム名でしょうか? prepare() が受け入れるプレースホルダーは

%d (integer) %f (float) %s (string)

の3種類だけであり、カラム名は受け入れられません。その前提でクエリを見直す必要があります。

2
  • ありがとうございます。prepareを使う限り、カラム名は受け付けられないのですね。とすると、動的にカラム名を文字列連結をしてもセキュリティ上に問題ないかが気になります。
    – giraffy
    Commented 2017年10月2日 0:00
  • @giraffy 候補となるカラム数が膨大でなければ、予めSQL文を用意しておいてもいいのでは?
    – sayuri
    Commented 2017年10月2日 4:01

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。