セキュアプログラミング
更新日:
用語解説
セキュアプログラミングは、攻撃に悪用される欠陥を作り込まないように、入力、認証、出力、エラー、メモリなどを安全に扱うプログラミングの方法です。
■ 試験で押さえるポイント
外部からの入力はすべて信頼せず、型、長さ、形式を検証します。
SQLはプレースホルダを使い、出力は表示する場所に合わせてエスケープします。
コードレビューや解析ツールでの検査を、開発の工程に組み込みます。
■ 過去問での着眼点
入力の検証だけでなく、出力のエスケープ、権限の確認、エラーの扱いまで含みます。
例: 商品IDを数値として検証し、SQLにはプレースホルダで渡し、検索結果はHTML用にエスケープして表示します。