基本情報技術者試験 基本情報技術者試験 令和6年度 科目A 公開問題 午前 問10: SQLインジェクションの対策として，有効なものはどれか。

正解

エ. プレースホルダを使って命令文を組み立てる。

正答率 55.7%（1,282人中 714人が正解）

問題の解説

SQL インジェクション対策の本命は、SQL 文の組立てにプレースホルダ（バインド変数）を用いて入力値をデータとして扱わせる方法です。エが正解。

選択肢ごとの解説

• アURL スキーム制限はオープンリダイレクトや XSS 対策で、SQL インジェクション対策ではありません。
• イファイル名の直接指定回避はパストラバーサル対策で、SQL インジェクションとは別です。
• ウスタイルシートの取り込み制限は XSS／CSP の話で、SQL インジェクション対策ではありません。
• エプレースホルダによる SQL 文構築、SQL インジェクションの最も有効な対策で正解です。