「ウェブアプリの脆弱性にどう対応してますか?」記事へのコメント

とりあえず

[Anonymous Coward]

DBへのアクセスはPreparedStatement。
原理的にSQLインジェクションは発生しないので。

でも結局のところは一生懸命情報を収集するしかないのですけれどね。

Re:とりあえず

[Anonymous Coward]

条件分岐で検索条件が変わる時は
その分だけのPreparedStatement作るんですか？

Re:とりあえず

[tit (23686)]

その場合は都度、PreparedStatementを生成してあげれば良いかと思います。
情報源は定かではないのですがJavaの場合、PreparedStatementを生成する際に
コンパイルされたSQL文はキャッシュされるはずですので
Statementを都度生成するより効率的です。

誰か詳しい人、補足をお願いします…；

Re:とりあえず

[kai_kamome (4560)]

Javaの場合ってか、Oracleの場合はSQLの字句を比較して過去の解析
結果を使いまわすキャッシュがあったはずです。
あらかじめPrepareしておけばこのキャッシュから探す手間も
省けます。
が...
条件によってSQLを動的に生成するという事は、下手するとキャッシュ
にヒットしないんじゃない

--
wild wild computing

Re:とりあえず

[SteppingWind (2654)]

オンライン・トランザクション処理でミリ秒単位のレスポンスを要求するシステムではPreparedStatementの使用が事実上必須ですね.

Oracleの場合, SQLのコンパイルにかかる時間は(もちろんSQLの記述によって全く異なりますが)おおよそ数100msのオーダー, 一方コンパイル済みのSQLをキャッシュから探すのが数msのオーダーです. そのため秒間数10～数100程度の問い合わせがあるシステムでは, 動的SQLを使うとデータが十分にバッファリングされてIO負荷に問題の無い場合でもCPUネックでシステムが回らなくなる場合があります. 一般には多くの業務システムでSQLキ

Re:とりあえず

[Anonymous Coward]

ORACLEの場合、8だか9だかあたりからパフォーマンスの為に設定によって動的SQLでも似たものはキャッシュ使うようになってるとか聞いたような。
実際以前よりは動的SQLにパフォーマンスに難が無くなりました。
Prepare構文に変換出来るものは内部的に変換してキャッシュ率上げるとか。。うろ覚え。違ってたらごめんなさい。

それでも最初からPrepare使った方が早いですし、インジェクション対策にもなるので良いのは変わりませんが。