セキュアなSQLの基本5つ｜初心者が最初に覚えること

SQL を書き始めると、「動けばよい」になりがちです。ところがユーザー入力をそのまま SQL に入れると、意図しないデータ取得や改ざんにつながることがあります。

この記事では、攻撃手法の暗記ではなく、初心者が最初に身につけるべきセキュアなSQLの基本5つを、理由とセットでまとめます。

この記事でわかること

こんなときに読むと役立ちます

ユーザー入力や外部データを「値」として安全に渡し、SQL の構造そのものは開発者が固定する書き方

ポイントは「入力を信用しない」ことです。フォームや URL、API の値は、すべて検証・加工の対象と考えます。

いちばん多いのが、変数を "..." でくっつける書き方です。

// 危険：ユーザー入力 $email をそのまま SQL に連結
$sql = "SELECT * FROM users WHERE email = '" . $email . "'";

入力次第で、SQL の意味そのものが変わってしまいます。「動いたから大丈夫」はセキュアの根拠にならない、と覚えておいてください。

方針： SQL 文の形はコード側で固定し、変わるのは値だけにします。

プリペアドステートメントは、SQL の枠組みと渡す値を分けて送る仕組みです。値は「データ」として扱われ、命令として解釈されにくくなります。

// PDO の例
$stmt = $pdo->prepare('SELECT * FROM users WHERE email = :email');
$stmt->execute(['email' => $email]);

「エスケープしたから大丈夫」だけに頼るより、プリペアドを第一選択にするのが安全です。

WordPress なら

$wpdb->prepare() を使います。プレースホルダは %s（文字列）、%d（整数）、%f（浮動小数）です。

$sql = $wpdb->prepare(
  'SELECT * FROM {$wpdb->users} WHERE user_email = %s',
  $email
);
$users = $wpdb->get_results( $sql );

アプリが使う DB ユーザーに DROP や GRANT など、不要な権限を付けないのもセキュアなSQLの一部です。

たとえ SQL の書き方に不備があっても、被害の広がりを小さくする効果があります。

DB のエラーには、テーブル名・カラム名・SQL の断片などが含まれることがあります。開発中はデバッグに便利ですが、本番でそのまま表示すると攻撃の手がかりになります。

「自分でエスケープ関数を書く」より、検証済みの仕組みに任せる方が安全です。

環境	使うものの例
WordPress	`$wpdb->prepare()`、`WP_Query`、サニタイズ関数群
PHP 一般	PDO のプリペアド、ORM のクエリビルダ
生 SQL が必要なとき	プレースホルダ付きで書き、入力は必ずバインド

ORM や高レベル API を使っていても、whereRaw() のように生 SQL を混ぜる箇所は要注意です。そこだけルールが崩れがちです。