[PHPのはじめ方] Part24: プリペアドステートメントとSQLインジェクション対策

PHP
PHP入門学習教科書

データベースを安全に扱うための必須知識を学びましょう。

Webアプリケーション開発において、データベースとの連携は欠かせません。しかし、ユーザーからの入力をそのままSQL文に組み込むと、SQLインジェクションという深刻な脆弱性を生み出す可能性があります。😱

このステップでは、データベース操作を安全に行うための重要なテクニックである「プリペアドステートメント」について学び、SQLインジェクション攻撃からアプリケーションを守る方法を習得します。

🚨 SQLインジェクションとは？

SQLインジェクション（SQL Injection）とは、悪意のあるユーザーがWebアプリケーションの入力フォームなどを通じて不正なSQL文を注入（inject）し、データベースを不正に操作する攻撃手法です。

例えば、ユーザーIDを入力してユーザー情報を検索する機能があったとします。もし、入力された値を直接SQL文に埋め込んでいると… 

<?php
// 脆弱なコードの例（絶対に真似しないでください！）
$userId = $_POST['user_id']; // ユーザーからの入力をそのまま受け取る
$sql = "SELECT * FROM users WHERE id = " . $userId; // 入力値を直接SQL文に結合
$stmt = $pdo->query($sql);
$user = $stmt->fetch();
?>

このコードに対して、攻撃者がユーザーIDとして 1 OR 1=1 という値を入力すると、実行されるSQL文は次のようになります。 

SELECT * FROM users WHERE id = 1 OR 1=1

OR 1=1 は常に真 (True) となるため、WHERE句の条件が実質的に無視され、テーブル内の全てのユーザー情報が取得されてしまう可能性があります。さらに巧妙なSQL文を注入されると、データの改ざんや削除、機密情報の漏洩、最悪の場合はサーバーの乗っ取りに繋がることもあります。😨

注意: ユーザーからの入力を検証・加工せずに直接SQL文に組み込むのは非常に危険です。

✨ プリペアドステートメントとは？

プリペアドステートメント（Prepared Statements）は、SQLインジェクションを防ぐための最も効果的な対策の一つです。これは、実行したいSQL文の「テンプレート（雛形）」と、そこに埋め込む「値（パラメータ）」を分離して扱う仕組みです。

  1. 準備 (Prepare): まず、パラメータ部分をプレースホルダ（例: ? や :name）で置き換えたSQL文のテンプレートをデータベースに送信し、コンパイル（解析・最適化）させます。
  2. バインド (Bind): 次に、プレースホルダに対応する実際の値を、型を指定してSQL文に紐付け（バインド）します。
  3. 実行 (Execute): 最後に、バインドされた値を使って、準備されたSQL文を実行します。

この仕組みにより、後からバインドされた値は単なるデータとして扱われ、SQL文の一部として解釈されることがなくなります。これにより、SQLインジェクション攻撃を防ぐことができます。🛡️

PHPでデータベースを操作する際によく使われる PDO (PHP Data Objects) は、プリペアドステートメントを簡単に利用するための機能を提供しています。

✅ PDOでのプリペアドステートメントの使い方

PDOを使ってプリペアドステートメントを実行する基本的な流れを見ていきましょう。

1. 準備 (prepare)

PDO::prepare() メソッドを使って、SQL文のテンプレートを準備します。プレースホルダには「名前付きプレースホルダ (:name)」と「疑問符プレースホルダ (?)」の2種類があります。名前付きプレースホルダの方が、どの値がどのパラメータに対応するかわかりやすいため、推奨されます。 

<?php
// 名前付きプレースホルダ
$sql_named = "SELECT * FROM users WHERE id = :id AND status = :status";
$stmt_named = $pdo->prepare($sql_named);

// 疑問符プレースホルダ
$sql_question = "INSERT INTO products (name, price) VALUES (?, ?)";
$stmt_question = $pdo->prepare($sql_question);
?>

2. バインド (bindValue / bindParam)

PDOStatement::bindValue() または PDOStatement::bindParam() メソッドを使って、プレースホルダに値を紐付けます。

  • bindValue(パラメータ名 or 番号, 値, データ型): 変数の「値」そのものをバインドします。
  • bindParam(パラメータ名 or 番号, 変数, データ型): 変数を「参照」としてバインドします。execute() が実行される時点での変数の値が使われます。通常は bindValue() を使う方が直感的で間違いが少ないでしょう。

データ型は省略可能ですが、明示的に指定することでより安全になります。（例: PDO::PARAM_INT, PDO::PARAM_STR）

<?php
// bindValue の例 (名前付きプレースホルダ)
$userId = 123;
$status = 'active';
$stmt_named->bindValue(':id', $userId, PDO::PARAM_INT);
$stmt_named->bindValue(':status', $status, PDO::PARAM_STR);

// bindValue の例 (疑問符プレースホルダ - 番号は1から始まる)
$productName = 'すごい商品';
$price = 1980;
$stmt_question->bindValue(1, $productName, PDO::PARAM_STR);
$stmt_question->bindValue(2, $price, PDO::PARAM_INT);
?>

値を直接 execute() の引数に配列で渡す方法もあります。この場合、全ての値は文字列 (PDO::PARAM_STR) として扱われますが、多くの場合これで問題なく動作します。 

<?php
// executeの引数で値を渡す例 (名前付きプレースホルダ)
$params_named = [
    ':id' => 123,
    ':status' => 'active'
];
// $stmt_named->execute($params_named); // 後述の execute で実行

// executeの引数で値を渡す例 (疑問符プレースホルダ)
$params_question = [
    'すごい商品',
    1980
];
// $stmt_question->execute($params_question); // 後述の execute で実行
?>

3. 実行 (execute)

PDOStatement::execute() メソッドを実行して、SQL文をデータベースに送信します。バインドを bindValue や bindParam で行った場合は引数なしで、引数に配列を渡す方法を使った場合はその配列を渡して実行します。 

<?php
// bindValue/bindParam でバインドした場合
// $success_named = $stmt_named->execute();
// $success_question = $stmt_question->execute();

// executeの引数で値を渡す場合
$success_named = $stmt_named->execute($params_named);
$success_question = $stmt_question->execute($params_question);

if ($success_named) {
    echo "名前付きクエリの実行に成功しました！<br>";
    // SELECT文の場合は、ここで結果を取得する処理 (fetchAll, fetch など) を行う
    // $results = $stmt_named->fetchAll(PDO::FETCH_ASSOC);
} else {
    echo "名前付きクエリの実行に失敗しました...<br>";
    print_r($stmt_named->errorInfo()); // エラー情報を表示
}

if ($success_question) {
    echo "疑問符クエリの実行に成功しました！ (INSERT)<br>";
    // INSERT, UPDATE, DELETE の場合は、影響を受けた行数を取得できる
    // $rowCount = $stmt_question->rowCount();
} else {
    echo "疑問符クエリの実行に失敗しました...<br>";
    print_r($stmt_question->errorInfo()); // エラー情報を表示
}
?>

💡 プリペアドステートメントのメリットまとめ

  • SQLインジェクション対策: 最大のメリット！値をSQL文として解釈させないため、安全性が格段に向上します。
  • パフォーマンス向上: 同じSQL文（テンプレート）を繰り返し実行する場合、データベースはSQL文の解析・最適化を最初の一回だけ行えばよいため、効率が良くなることがあります。
  • コードの可読性: SQL文とパラメータが分離されるため、コードが読みやすくなる場合があります。

実践！CRUD操作での利用例

基本的なCRUD（Create, Read, Update, Delete）操作でプリペアドステートメントを使う例を見てみましょう。（PDO接続は $pdo 変数に確立されている前提です）

SELECT (読み取り)

<?php
$userId = filter_input(INPUT_GET, 'id', FILTER_VALIDATE_INT); // 入力値の検証も忘れずに

if ($userId) {
    $sql = "SELECT username, email FROM users WHERE id = :id";
    $stmt = $pdo->prepare($sql);
    $stmt->bindValue(':id', $userId, PDO::PARAM_INT);
    $stmt->execute();
    $user = $stmt->fetch(PDO::FETCH_ASSOC); // 1件取得

    if ($user) {
        echo "ユーザー名: " . htmlspecialchars($user['username'], ENT_QUOTES, 'UTF-8') . "<br>";
        echo "メールアドレス: " . htmlspecialchars($user['email'], ENT_QUOTES, 'UTF-8');
    } else {
        echo "ユーザーが見つかりません。";
    }
}
?>

INSERT (作成)

<?php
$username = $_POST['username']; // 実際にはバリデーションが必要
$email = $_POST['email'];     // 実際にはバリデーションが必要
$password = password_hash($_POST['password'], PASSWORD_DEFAULT); // パスワードはハッシュ化

$sql = "INSERT INTO users (username, email, password_hash) VALUES (:username, :email, :password)";
$stmt = $pdo->prepare($sql);

$stmt->bindValue(':username', $username, PDO::PARAM_STR);
$stmt->bindValue(':email', $email, PDO::PARAM_STR);
$stmt->bindValue(':password', $password, PDO::PARAM_STR);

if ($stmt->execute()) {
    echo "ユーザー登録が成功しました！";
} else {
    echo "ユーザー登録に失敗しました。";
    print_r($stmt->errorInfo());
}
?>

UPDATE (更新)

<?php
$userId = $_POST['user_id']; // 更新対象のID
$newEmail = $_POST['new_email']; // 新しいメールアドレス (バリデーション必要)

$sql = "UPDATE users SET email = :email WHERE id = :id";
$stmt = $pdo->prepare($sql);

$stmt->bindValue(':email', $newEmail, PDO::PARAM_STR);
$stmt->bindValue(':id', $userId, PDO::PARAM_INT);

if ($stmt->execute()) {
    echo "メールアドレスを更新しました！";
} else {
    echo "更新に失敗しました。";
    print_r($stmt->errorInfo());
}
?>

DELETE (削除)

<?php
$userIdToDelete = $_POST['delete_id']; // 削除対象のID (バリデーション必要)

$sql = "DELETE FROM users WHERE id = :id";
$stmt = $pdo->prepare($sql);
$stmt->bindValue(':id', $userIdToDelete, PDO::PARAM_INT);

if ($stmt->execute()) {
    // rowCount() で削除された行数を確認できる
    if ($stmt->rowCount() > 0) {
        echo "ユーザーを削除しました。";
    } else {
        echo "削除対象のユーザーが見つかりませんでした。";
    }
} else {
    echo "削除に失敗しました。";
    print_r($stmt->errorInfo());
}
?>
ポイント: ユーザーからの入力値は、プリペアドステートメントに渡す前に、filter_input 関数などで期待する形式かどうかを検証（バリデーション）し、画面に表示する際には htmlspecialchars 関数などでエスケープ（サニタイズ）することも重要です。これは Step 4 で学習した内容ですね！

まとめ

今回は、安全なデータベース操作に不可欠なプリペアドステートメントと、その目的であるSQLインジェクション対策について学びました。

  • SQLインジェクションは、不正なSQL文注入による深刻な攻撃であること。
  • プリペアドステートメントは、SQL文の「テンプレート」と「値」を分離することでSQLインジェクションを防ぐ仕組みであること。
  • PDOを使えば、prepare(), bindValue()/bindParam() (または execute() の引数), execute() の流れで簡単に実装できること。

データベースを扱うWebアプリケーションを開発する上で、プリペアドステートメントの使用は必須と考えましょう。常に安全なコーディングを心がけ、信頼性の高いアプリケーションを作成してくださいね！💪

これでStep 6は完了です！次のStep 7では、これまでに学んだ知識を活かして、簡単な掲示板アプリケーションの作成など、より実践的なWeb開発に挑戦していきます。お楽しみに！🚀

コメント

タイトルとURLをコピーしました