要するに、パラメタライズドクエリをそのままストアドプロシージャ内に書くのは、無意味・本末転倒で危険だということですね。
誤解があってはいけませんので、確認のために例をあげましょう。会員情報というテーブルがあり、３件のレコードがあるとします。
1> select * from dbo.会員情報
2> go
userid password クレジットカード番号
--------------------------------------------------
hoge abc 1234567
moge xyz 7654321
fuga efg 567123
(3 行処理されました)
ここから、会員のクレジットカード番号を読みだすプログラムを以下のように書きました。わざとSQLインジェクションが発生するようにパラメータの値を設定しています。
Dim dt = New DataTable()
Using con As New SqlConnection(My.MySettings.Default.testdbConnectionString)
Using cmd As New SqlCommand
With cmd
.Connection = con
.CommandType = CommandType.StoredProcedure
.CommandText = "dbo.Get会員情報"
.Parameters.AddWithValue("@userid", "moge")
.Parameters.AddWithValue("@password", "xyz' or 'A' = 'A")
End With
Using da As New SqlDataAdapter
da.SelectCommand = cmd
da.Fill(dt)
End Using
DataGridView1.DataSource = dt
End Using
End Using
以下に、SQLインジェクションの発生するパターンを含めて、Get会員情報というストアドプロシージャを示します。
CREATE PROCEDURE dbo.Get会員情報
@userid nvarchar(50) = '',
@password nvarchar(50) = ''
AS
BEGIN
--■パターン１。このパターンはSQLインジェクションは発生しない。バインドメカニズムが使用されるため。
--SELECT userid, password, クレジットカード番号
-- from dbo.会員情報
-- where userid = @userid and password = @password
--■パターン２。このパターンもSQLインジェクションは発生しない。バインドメカニズムが使用されるため。
--declare @sqlwk nvarchar(500) = ''
--set @sqlwk = 'select userid, password, クレジットカード番号 from dbo.会員情報' +
-- ' where userid = @userid and password =@password'
--exec sp_executesql @sqlwk, N'@userid nvarchar(50), @password nvarchar(50)', @userid, @password
--■パターン３。このパターンはSQLインジェクションが発生する。バインドメカニズムを使用しないため。
declare @sqlwk nvarchar(500) = ''
set @sqlwk = 'select userid, password, クレジットカード番号 from dbo.会員情報' +
' where userid = ''' + @userid +''' and password = ''' + @password + ''''
exec sp_executesql @sqlwk
END
このような単純な例ではパターン３を書く人はまずいないでしょうが、複雑な検索条件を指定したりする場合など、パターン３で書いてしまう人がいます。これは、パラメタライズドクエリを使っており、ストアドプロシージャで処理までしているからSQLインジェクションは発生しないという思い込みから来ています。ストアドプロシージャを使う場合は、バインドメカニズムはデータベース側、すなわちストアドプロシージャで行うということを頭にたたきいれて下さい。
ちなみに、ストアドプロシージャを使わずに、VB上でselect文を書いて発行する場合、それがパラメタライズドクエリとして書かれていれば、常に上記ストアドプロシージャ内のパターン２の構文に変換されてからSQL Serverに送られますので、やはりデータベース側でバインドメカニズムが動作し、SQLインジェクションが防止されます。
★良い回答には回答済みマークを付けよう！ わんくま同盟 MVP - Visual C# http://d.hatena.ne.jp/trapemiya/
