「PostgreSQL7.4リリース」記事へのコメント

SQL Injection

[Anonymous Coward]

よく知らないのですが、
SQLインジェクションの防止機能とかないでしょうか?
プログラマーの責任ですが、なかなかなくなりません。

Re:SQL Injection

[Anonymous Coward]

＞SQLインジェクションの防止機能とかないでしょうか?

　それはDB側の機能として対処する話では無いんじゃない？
　第一インジェクションさせるSQLだってSQL構文に乗っ取っている訳だから
　DB側で判断させようが無いと思いますが・・・

　まぁ解った上で聞いている話だと思いますけどね。

　やはり入り口で値チェックするのが一番でしょうなぁ。

Re:SQL Injection

[Anonymous Coward]

入り口じゃなくて、出口が基本でしょ？
サニタイジングとかいう人は素人。

Re:SQL Injection

[babie (6656)]

SQLインジェクションは普通入り口だと思うんですが・・・
XSSは出口ですが。

わたしもわからないので、ぜひ教えてください。

Re:SQL Injection

[tietew (6130)]

Injection(XSS) いう出口とは，入力を受け取ったアプリケーションが，別のアプリケーションの入力として用いられる文字列を組み立てるときのことです。（文字列じゃないデータ構造に対しては，サニタイズが要るか要らないかはケースバイケース）
よって SQL Injection に於ける出口とは，SQL を組み立てるときのこと。

Injection (含XSS) の基本は，出口でサニタイズ。これ以外はほぼ絶対に，穴か理不尽な制約（ex. [']を入力すると消されるなど）が付きます。

Re:SQL Injection

[babie (6656)]

>よって SQL Injection に於ける出口とは，SQL を組み立てるときのこと。

私の知ってる対処法と同じでした。
「出口」「入口」という書き方が間違いの元ですね。
PostgreSQLの話題なんで、PostgreSQLから見た「入口」という意味で私は使っておりました。
「出口で対処するって言ったって、DBに不正なクエリが既に逝ってるじゃん」って。

  # 元ACの本意は同じ？

Re:SQL Injection

[Anonymous Coward]

元ACです。

＞元ACの本意は同じ？

　同じです。言葉尻を取られて誤解があった様ですね。すんません
　私の参考にしているのはIPAのセキュアプログラミング講座 [ipa.go.jp]です。
　もぅ何度も/.では紹介されていますけどね。

Re:SQL Injection

[Anonymous Coward]

> SQLインジェクションは普通入り口だと思うんですが・・・
> XSSは出口ですが。

差し込む文字列は必ず「'」でくくって、
差し込む文字列中の「'」を「''」にエスケープする。

そんだけ。

Re:SQL Injection

[Anonymous Coward]

オレ素人だった…

もしよろしければ「出口ですべし」の理由をご教授願えないでしょうか

Re:SQL Injection

[Anonymous Coward]

プログラマーならわかるはずだけど、文字列を出力するときってのは、そいつが構造を持っている（つまり一種の言語だ）なら、必ずメタキャラクタになる文字があるよね。UNIXのコマンドラインだって、「'....'」と書いたら「....」の中に「'」を書きたいときどうする？ 必ずエスケープする書き方が文法設計段階で用意されているはずだ。だったら、エスケープするの