SQLインジェクションは「実装の怠慢」である。VB.NETで堅牢なデータアクセス層を構築する極意
業務自動化の現場において、データベース連携は避けて通れない要衝だ。しかし、多くのエンジニアが「動けばいい」という甘い認識で書いたSQL文によって、システムの寿命を縮め、取り返しのつかないセキュリティ事故の種を撒いている。
今日は、VB.NETを用いた開発において、SQLインジェクションを物理的に封じ込め、かつ保守性の高いコードを実現するための「アーキテクトの思考」を伝授する。
—
1. なぜ「文字列結合」が地獄への入り口なのか
まず、初心者が陥りがちな「やってはいけない実装」を直視してほしい。
‘ 【絶対禁止】文字列連結によるSQL構築
Dim sql As String = “SELECT FROM Users WHERE UserName = ‘” & txtUser.Text & “‘”
‘ もし txtUser.Text に “‘ OR ‘1’=’1” と入力されたら？ 認証は瞬時に崩壊する。
文字列結合でSQLを生成することは、「外部からの入力をプログラムの命令として解釈させる」という自殺行為に等しい。これを防ぐ唯一の解が「パラメータ化クエリ」だ。
—
2. 鉄則：Parameters.AddWithValue の正しい運用
ADO.NETにおいて、SQL文とパラメータを分離することは、単なるセキュリティ対策ではない。データベースエンジン側での「実行計画のキャッシュ効率」を向上させ、パフォーマンスを最適化する手段でもある。
堅牢な実装パターン（プロダクションコード）
以下のコードは、リソースの解放を保証する `Using` ブロックと、パラメータ化を徹底した安全な設計だ。
Imports System.Data.SqlClient
Public Function GetUserInfo(ByVal userName As String) As DataTable
Dim dt As New DataTable()
‘ 接続文字列は構成ファイル(App.config)から読み込むこと
Dim connString As String = My.Settings.DbConnectionString
Using conn As New SqlConnection(connString)
‘ SQL文はあらかじめ固定しておく（プレースホルダは @ を使用）
Dim sql As String = “SELECT UserID, Email FROM Users WHERE UserName = @UserName”
Using cmd As New SqlCommand(sql, conn)
‘ パラメータの型と値を明確に紐付ける
‘ AddWithValue は便利だが、型推論が意図しない挙動を招くこともある。
‘ 本気で設計するなら SqlDbType を明示した Add を推奨する。
cmd.Parameters.Add(“@UserName”, SqlDbType.NVarChar, 50).Value = userName
conn.Open()
Using reader As SqlDataReader = cmd.ExecuteReader()
dt.Load(reader)
End Using
End Using
End Using
Return dt
End Function
なぜこれが「強い」のか
1. Usingの徹底: 接続（Connection）やコマンド（Command）といったアンマネージドリソースを確実に解放し、メモリリークを根絶する。
2. SQLと値の分離: データベースエンジンは「命令」と「データ」を完全に分けて処理するため、入力値にSQL構文が含まれていても、それは単なる「文字列」としてしか扱われない。
—
3. 動的SQL構築の罠と「賢い回避策」
検索条件が可変する「動的検索画面」などで、SQLを動的に組み立てたいという要求は多い。しかし、ここで文字列連結を乱用すると、先述の脆弱性の温床になる。
安全に動的SQLを作るための設計指針
動的SQLが必要な場合は、「SQLのテンプレート」を保持し、パラメータリストを動的に構築するというアプローチを取るべきだ。
‘ 条件によってSQLを組み立てる例
Dim sql As New StringBuilder(“SELECT FROM Products WHERE 1=1″)
Dim cmd As New SqlCommand()
If Not String.IsNullOrEmpty(category) Then
sql.Append(” AND Category = @Category”)
cmd.Parameters.Add(“@Category”, SqlDbType.NVarChar).Value = category
End If
If minPrice > 0 Then
sql.Append(” AND Price >= @MinPrice”)
cmd.Parameters.Add(“@MinPrice”, SqlDbType.Decimal).Value = minPrice
End If
cmd.CommandText = sql.ToString()
‘ このあとコネクションを紐付けて実行
この設計の利点は、「SQLの骨格は固定されているが、条件だけが安全に追加される」という点にある。`1=1` という定数条件を置いておくことで、`AND` の連結処理を簡略化するテクニックは、業務システム開発における定石だ。
—
4. 最後に：エンジニアとしての矜持
「動くコード」を書くことは、プログラマーの最低条件に過ぎない。「誰が読んでも脆弱性を仕込みようがないコード」を書くことこそが、エンジニアの価値だ。
- 入力を信じるな: ユーザー入力は常に悪意あるものと想定せよ。
- 型を信じろ: パラメータの型定義は、自分自身を守る防壁だ。
- リソースを管理せよ: `Using` を忘れる者は、いずれシステムを停止させる。
VB.NETは古臭い言語ではない。正しく扱えば、これほど堅牢で業務にフィットする言語は他にない。あなたのコードが、現場の資産となることを期待している。
