出力を無害化する方法には

• エスケープする
• エスケープする必要がないAPIを利用する
• バリデーションする

の3つの方法がある。「エスケープする必要がないAPI」は盲目的に利用して安全とは言えない。

プリペアードクエリ／プレイスホルダーはSQLパラメータとSQL文を分離し、SQLインジェクションを防止できる。しかし、SQL識別子、SQL語句の分離は行えない。またLIKEクエリや正規表現によるクエリを利用する場合、それぞれLIKE構文、正規表現構文に合ったエスケープを行わないと安全性を確保できない場合がある。

<?php
$db = pg_connect('host=localhost');
$result = pg_query_params($db, 'SELECT * FROM user_table_prefix_'.$_GET['tblname'].' WHERE id = $1', [$_GET['id']]);

プリペアードクエリ／プレイスホルダはSQLパラメーターしか分離しない。他のパラメーターやSQLパラメーターが他のコンテクストで解釈される場合は別の対策が必要となる。

OSのシステムコールとしてexecv/execveなどを利用するAPIを用いれば、OSコマンドの引数をエスケープせずに安全に利用できる。execv/execveはコマンドと引数を分離するが、コマンド自体が変数の場合は任意コマンドを実行できる。

PHPの場合、pcntl_exec関数はexecv/execveを内部的に利用している。

例外はない。

[ルール／推奨事項のリスク評価]

[評価例 - 英語表記に統一]