SQLインジェクションとは

SQLインジェクションとは、Webアプリケーションの入力欄などに不正なSQL文の断片を入力し、データベースを不正に操作する攻撃である。

入力値をそのままSQL文に組み込んでいると、情報の盗み出しや改ざん、削除が行われるおそれがある。根本的な対策は、SQL文の構造と入力値を分けてデータベースに渡すプレースホルダ（パラメータ化クエリ）を使うことで、入力値の特殊文字を無害化するエスケープ処理も補助的に使われる。