徳丸浩の日記 - SQLインジェクション対策 - SQLエスケープにおける「\」の取り扱いノウハウ(Tips)[okyuu.com]

0人
の評価

徳丸浩の日記 - SQLインジェクション対策 - SQLエスケープにおける「\」の取り扱い

SQLエスケープにおける「\」の取り扱い昨日のエントリ(徳丸浩の日記 - そろそろSQLエスケープに関して一言いっとくか - SQLのエスケープ再考)は思いがけず多くの方に読んでいただいた。ありがとうございます。その中で高木浩光氏からブクマコメントを頂戴した。 \がescape用文字のDBで\のescapeが必須になる理由が明確に書かれてない。\'が与えられたとき'だけescapeすると…。自作escapeは危うい。「安全な…作り方」3版で追加の「3.失敗例」ではDBで用意されたescape機能し...

コメント数 (0)
クリップ数 (0)
アクセス数 (3413)

カテゴリ: セキュリティ / 脆弱性

タグ: shift_jis sqlインジェクション

ff_jk
1169ポイント
投稿時間:2008/06/03 11:25


Shift_JISでの問題
ここまでならまだよい。データベースの種類によっては「\」のエスケープを忘れないようにしようで済む。ところが、文字「\」を表す文字コード 0x5cがShift_JISの2バイト目にも現れうることから話がややこしくなった(一方、「'」を表す0x27の方はShift_JISの二バイト目に現れない)。0x5cを二バイト目に含む文字は多数あるが、例として以下を紹介する。


これは　困難な問題ですね　
　RDBでShift_JISを使わないというのが　対処方法でしょうか？

コメントする