SQL インジェクションSQL Injection / SQLi

SQL インジェクション (SQLi) は、Webアプリがフォームやパラメータの入力値を SQL に直接連結することで、攻撃者が任意のSQLを差し込み、データ漏洩・改ざん・認証バイパス・OSコマンド実行に至る攻撃です。古典例は「' OR '1'='1」を入力欄に入れて WHERE 条件を真化するパターンや、UNION SELECT で他テーブルを抜くパターンです。対策はOWASPに従い (1) プリペアドステートメント / パラメータ化クエリの徹底 (2) ORM (Prisma / SQLAlchemy / ActiveRecord) の利用 (3) 最小権限原則のDBユーザー (4) WAFによる多層防御 (5) エラーメッセージの抽象化 が必須です。OWASP Top 10 では Injection カテゴリで何度も上位入りしてきた古典脅威です。Boolean-based / Time-based / Union-based / Error-based の手法分類があります。