プレースホルダ付きSQL送信文を持つJavaプログラムを対象としたSQLインジェクション脆弱性検査法の提案と評価

摘要

JDBCが提供するPreparedStatementはコンパイル済みのSQL文を格納するオブジェクトである．PreparedStatementが持つプレースホルダの構文と，setString()などの設定機能メソッドを利用することで，SQLインジェクション脆弱性を未然に防ぎ，安全で可読性が高いJavaプログラムを記述できることが知られている．本稿では，PreparedStatementクラスを使用してSQL文を実行するJavaプログラムを対象として，SQLインジェクシ，ヨン脆弱性検査を行う2種類の静的解析法を提案し，解析時間と脆弱性判定の正確さの点で実験に基づいた比較評価を行う．