基本情報技術者試験 基本情報技術者試験 令和4年度 科目A サンプル問題 午前 問36: SQL インジェクション攻撃による被害を防ぐ方法はどれか。

正解

ア. 入力された文字が，データベースへの問合せや操作において，特別な意味をもつ文字として解釈されないようにする。

正答率 64.5%（794人中 512人が正解）

問題の解説

SQL インジェクション対策の本命は、入力された特殊文字（'や;）をリテラルとして扱い、SQL の構文として解釈させない仕組み（プレースホルダ・エスケープ）です。アが正解。

選択肢ごとの解説

• ア特別な意味を持つ文字として解釈させない、SQL インジェクションの最も有効な対策で正解です。
• イHTML タグの置換は XSS（クロスサイトスクリプティング）対策で、SQL インジェクションとは異なります。
• ウ../ の制限はパストラバーサル攻撃対策で、SQL インジェクションとは別です。
• エ入力長制限はバッファオーバーフロー対策に近く、SQL 構文の解釈問題は防げません。