サニタイジングについて

質問

以下の環境でWEBアプリケーションを作成しています。

java1.5
jsp2.0
eclipse3.3
tomcat5.5
javascript使用可能
struts等のフレームワークは使用していません。

現在作成している画面にはデータベースへの検索機能があるので
検索キーを入力することが出来ます。
テキスト入力欄が一つ、セレクトボックスが一つあります。

入力欄にスクリプト等が入力されると改ざんやなりすましの恐れがあるため
WEBアプリの基本としてサニタイジングを行う必要があると伺いました。

このテキスト入力欄は半角10文字までの入力しかできないのですが、
入力欄がある以上、サニタイジングは行う必要があるのでしょうか？

回答No.1

めとろいと（@naktak） · ベストアンサー

> 現在作成している画面にはデータベースへの検索機能があるので
> 検索キーを入力することが出来ます。
> テキスト入力欄が一つ、セレクトボックスが一つあります。

つまり、検索条件となる文字列を入力できるということですよね？

これは、２パターンのサニタイズを行う必要がある場合があります。
入力できる文字数ははっきり言ってあまりアテにはなりませんね。
また、セレクトボックスなどから受け取る値も、選択肢以外来るはずがないという
考えから、完全に信用することも良くありません。

１つめは、DB操作を行う観点から・・・
実際内部処理としては、検索文字列を利用してSQLを組み立てるはずです。
この時、プリペアドステートメントを利用したSQL発行方法を取っているなら
問題ありません。
文字列連結を行ってSQLを発行しているような仕組みの場合、そこに
『意図しないSQL文を発行させる文字列』が入っていたら、不正な挙動を
起こす為、DB問合せを行うタイミングで『DB問合せの為のサニタイズ』が必要です。
これは、いわゆる『SQLインジェクション』という脆弱性に対する対応です。

２つめは、表示を行う観点から・・・
検索結果時に、検索した文字列を表示させるような場合、質問内に
記されいる通り、ブラウザが解釈できる全てのスクリプトが動作して
しまいます。
それはJavaScriptに限った話ではありません。
その場合は、表示を行うタイミングで『表示の為のサニタイズ』が必要です。
これは、いわゆる『クロスサイトスクリプティング』という脆弱性に対する対応です。
これが悪用され、『クロスサイトリクエストフォージェリ』という脆弱性にも繋がります。

DBから見た時、Webページから見た時のいずれもですが、『外的要因によって
動的に変化する部分は常にサニタイズをする』クセは持っていて損はありません。
（要件によって例外はありますが）

お礼

>この時、プリペアドステートメントを利用したSQL発行方法を取っているなら
>問題ありません。
プリペアドステートメントを使用した検索を行っています。
(特別サニタイジングを意識したわけではありませんでしたが)

>表示を行うタイミングで『表示の為のサニタイズ』が必要です。
こちらはサニタイジングを行っています。
DBに特殊文字が入ることはないのですが念のために行っていました。

ご回答ありがとうございました。