準備されたステートメント：SQLインジェクションに対する堅牢な防御

SQLインジェクションは依然として重要なセキュリティの脆弱性であり、攻撃者が悪意のある目的のためにデータベースクエリを操作できるようにします。 準備されたステートメントは強力なソリューションを提供し、このタイプの攻撃を効果的に防止します。しかし、それらはどのように機能しますか？

準備されたステートメントは、パラメーター化されたクエリを利用します。 ユーザー入力をSQL文字列に直接埋め込む代わりに、テンプレートクエリがプレースホルダー（「？」など）で作成されます。 実際の値は、 setString（）、 setint（）などのような方法を使用して個別に提供されます。

"ユーザー値（ '" username "'）" ）に挿入されます。 この不安定なアプローチでは、ユーザーが注入した悪意のあるコードが実行されたクエリの一部になります。 たとえば、ユーザーは 'を入力できます。テーブルユーザーをドロップします。 - 'テーブルの削除につながる。

をユーザーがサプリされたデータからSQLクエリを厳密に分離することにより、このリスクを軽減します。 プレースホルダーは、実行可能なSQLコードとしてではなく、データとして扱われます。 データベースエンジンはパラメーター値を個別に処理し、悪意のあるコードがSQLコマンドの一部として解釈されるのを防ぎます。。

実例：

// Vulnerable to SQL injection
Statement stmt = conn.createStatement("INSERT INTO users VALUES('"   username   "')");
stmt.execute();

// Secure using PreparedStatement
PreparedStatement stmt = conn.prepareStatement("INSERT INTO users VALUES(?)");
stmt.setString(1, username);
stmt.execute();

username から安全に分離し、SQLインジェクションの試みを効果的ではありません。