SQLite3:: escapeString使用法

質問

SQLite3クラスのメソッドescapeStringを使って、
ＳＱＬ文の中に挿入する文字列の
浄化（ＳＱＬインジェクション対策）をする場合の、
一般的な作法について教えて下さい。

例えば、

//-----------------------
//エスケープしたい文字列
$var= "Let's";

//オープンするデータベース
$db= ":memory:"

$obj = new SQLite3($db);
$tmp = $obj->escapeString($var);
$db->close();

//-----------------------

こんな感じで使おうとしていますが、
「オープンするデータベース」の所が、
ちょっと理解できていません。

とりあえず文字列の浄化だけを行いたい場合には、
必ずしも、ＤＢをオープンする必要はないと思いますので、

オープンするＤＢなんて、ないですよ！
ということで、
：ｍｅｍｏｒｙ：　を指定していたりしますが、

この辺りの正しい作法について、どなたか教えて下さい。

回答No.1

agunuz · ベストアンサー

>とりあえず文字列の浄化だけを行いたい場合

この意味がわかりません。データベース固有のエスケープは文字列をデータベースに格納する直前に行うべき処理です。「とりあえず」やる必然性がありません。

htmlspecialcharsをブラウザに返す直前に通すのと同じです。htmlspecialcharsした状態で保持する意味なんてありませんよね。逆に『2回通して』しまって壊してしまう可能性が増えるだけです。

お礼

回答をありがとうございます。

やはり、つっこまれてしまいましたね。（笑）

えっと、私は以前から、
プリペアドステートメント（PDO::prepare）を使って、
ＳＱＬ文を作成していたのですが、
それでも、そのＳＱＬ文の作成時には、
エスケープ処理は必要なのだと、
これまで誤解しており、

そのため、今回、この、PDO::prepareを使った処理の間に、
SQLite3:: escapeString　を使ったエスケープ処理を、
挟み込もうとしていました。

つまり、この方法ですと、
浄化をする時には既に、ＰＤＯ経由で、
使用するＤＢはオープンされているわけなので、
改めて、
new SQLite3($db);　でもって、
ＤＢをオープンすることはないだろ、
と、私は考えたわけです。

しかし、今回、皆さんから、

上記のプリペアドステートメントでＳＱＬ文を作成していれば、
「その時点で、エスケープ処理の問題は既に解決済みだよ！」（←間違ってたら教えて下さい。照）
ということを教わりましたので、

今後も、引き続き、
SQLite3クラスの「escapeString」ではなく、PDO::prepareを使って、
セキュアーに「SQLite3のＤＢ」を使用していけたらと考えています。

以上、また何か変なことを言っていましたら（笑）、
また、よろしければ、教えてください。