SQL インジェクションは、ユーザー入力を SQL クエリに直接埋め込むことで発生する脆弱性である。Flask と SQLAlchemy を使った安全なデータベース操作を解説する。
SQL インジェクションの危険性
# 危険: ユーザー入力を直接埋め込む @app.route('/search') def search(): q = request.args.get('q') # 攻撃者が q に "'; DROP TABLE users; --" を入力すると... result = db.engine.execute(f"SELECT * FROM posts WHERE title = '{q}'") return render_template('results.html', results=result)
攻撃者は入力を操作することで、任意の SQL を実行できてしまう。
SQLAlchemy ORM を使う
SQLAlchemy ORM はパラメータを自動的にエスケープする。
@app.route('/search') def search(): q = request.args.get('q') # 安全: ORM がパラメータをエスケープ posts = Post.query.filter(Post.title == q).all() return render_template('results.html', posts=posts)
パラメータ化クエリ
生の SQL を使う必要がある場合は、パラメータ化クエリを使う。
from sqlalchemy import text @app.route('/search') def search(): q = request.args.get('q') # 安全: パラメータをバインド result = db.session.execute( text("SELECT * FROM posts WHERE title = :title"), {'title': q} ) return render_template('results.html', results=result)
:title はプレースホルダで、{'title': q} で値をバインドする。
LIKE 検索の注意点
# 危険: % をそのまま埋め込む posts = Post.query.filter(Post.title.like(f'%{q}%')).all() # 安全: ワイルドカードをエスケープ from sqlalchemy import func q_escaped = q.replace('%', r'\%').replace('_', r'\_') posts = Post.query.filter(Post.title.like(f'%{q_escaped}%', escape='\\')).all()
動的なカラム名の危険
# 危険: カラム名をユーザー入力から取る order_by = request.args.get('sort', 'id') posts = Post.query.order_by(order_by).all() # SQL インジェクションの可能性
# 安全: ホワイトリストでチェック ALLOWED_SORT = {'id', 'title', 'created_at'} order_by = request.args.get('sort', 'id') if order_by not in ALLOWED_SORT: order_by = 'id' posts = Post.query.order_by(getattr(Post, order_by)).all()
IN 句の安全な使用
# 安全: リストをそのまま渡す ids = [1, 2, 3] posts = Post.query.filter(Post.id.in_(ids)).all()
SQLAlchemy が適切にエスケープしてくれる。
生の SQL を避けられない場合
from sqlalchemy import text # 複雑なクエリでも必ずパラメータ化 query = text(""" SELECT p.*, u.username FROM posts p JOIN users u ON p.user_id = u.id WHERE p.status = :status AND u.role = :role """) result = db.session.execute(query, {'status': 'published', 'role': 'author'})
防御のまとめ
ORM を使う（最も安全）
生 SQL は必ずパラメータ化クエリ
カラム名・テーブル名はホワイトリストで検証
エラーメッセージで SQL 構造を露出しない
SQLAlchemy を正しく使えば、SQL インジェクションのリスクを大幅に減らせる。
