IT資格用語解説基本情報技術者試験・アプリケーションセキュリティ
プレースホルダ
更新日:
用語解説
プレースホルダは、SQL文の構造中で後から値を束縛する位置を示す記号で、プリペアドステートメントと組み合わせてSQLコードと利用者データを分離する仕組みです。
■ 試験で押さえるポイント
DBドライバへSQL構造と値を別々に渡すため、値中の引用符やSQL断片が命令として解釈されず、SQLインジェクションを防ぎます。
文字列連結後に独自エスケープする方法より、型を保って安全に束縛できるパラメータ化を優先します。
表名、列名、ORDER BY方向など識別子・構文部分は通常束縛できないため、許可リストから選択します。
プレースホルダを使っても認可不備、過大権限、二次利用時の動的SQLは防げないので、最小権限と入力設計を併用します。
■ 選択肢での判断ポイント
SQLの構造と値を分離する原理、値への利用範囲、識別子には許可リストが必要な点を問います。
例: SELECT * FROM users WHERE id = ? を準備し、利用者入力を整数値として束縛して、SQL文字列へ連結しません。