Java Tips | 実務ユーティリティ：SQL文字列安全化

Java

2026.08.14

なぜ「SQL文字列安全化ユーティリティ」が業務で重要なのか
ステップ1 本当にやるべきことは「SQLを文字列連結しない」こと
1. PreparedStatement を使うのが王道です
ステップ2 それでも文字列を扱わざるを得ない場面を整理する
1. LIKE 検索や動的な ORDER BY などの「グレーゾーン」
ステップ3 文字列リテラルとして埋め込む場合の安全化を考える
1. シングルクォートの扱いが最重要です
ステップ4 基本的な SQL文字列リテラル安全化ユーティリティを書く
1. ' を '' に置き換えるシンプルな処理
ステップ5 LIKE 検索用の安全化を考える
1. % と _ を「特別な意味を持つ文字」として扱う
ステップ6 カラム名やソート方向を安全に扱う
1. 「値」と「構文要素」を混ぜない設計にする
ステップ7 実務で使いやすいテンプレートとしてまとめる
1. 「PreparedStatement が基本」「補助的に安全化ユーティリティ」をセットで持つ
まとめ SQL文字列安全化ユーティリティで身につけてほしい感覚

なぜ「SQL文字列安全化ユーティリティ」が業務で重要なのか

業務システムでデータベースを扱うとき、ユーザー入力を検索条件や更新値として SQL に渡す場面は必ず出てきます。このときに、ユーザー入力をそのまま SQL 文字列に連結してしまうと、SQLインジェクション という代表的な攻撃の入り口になります。

SQLインジェクションは、攻撃者が「意図的に壊れた文字列」を入力し、それをそのまま SQL に埋め込ませることで、本来想定していない SQL を実行させてしまう攻撃です。例えば、ログイン画面で次のような文字列をユーザー名として入力された場合を考えます。

' OR 1=1 --

これをそのまま SQL に連結すると、次のような危険なクエリが出来上がります。

SELECT * FROM users WHERE name = '' OR 1=1 --' AND password = 'xxx';

OR 1=1 によって条件が常に真になり、-- 以降がコメント扱いになることで、パスワードチェックが無効化されてしまいます。こうした攻撃を防ぐために、「SQL文字列安全化」というテーマが出てきます。

ただし、ここで最初に強調したいのは、本質的な対策は「文字列安全化」ではなく「プレースホルダ（PreparedStatement）を使うこと」 だという点です。そのうえで、「どうしても文字列を扱わざるを得ない場面」での安全化ユーティリティを考えていきます。

ステップ1 本当にやるべきことは「SQLを文字列連結しない」こと

PreparedStatement を使うのが王道です

まず、プログラミング初心者の方に最初に伝えたいのは、 「SQLを文字列連結で組み立てるのをやめる」ことが最大の防御になる という事実です。

悪い例から見てみます。

// 絶対にやってはいけないパターン
String sql = "SELECT * FROM users WHERE name = '" + userInput + "'";
Statement stmt = connection.createStatement();
ResultSet rs = stmt.executeQuery(sql);

// 絶対にやってはいけないパターン
String sql = "SELECT * FROM users WHERE name = '" + userInput + "'";
Statement stmt = connection.createStatement();
ResultSet rs = stmt.executeQuery(sql);

Java

このように、ユーザー入力 userInput をそのまま ' で囲んで連結すると、攻撃者は簡単に SQL の構文を壊して別の意味に変えることができます。

正しいパターンは次のようになります。

String sql = "SELECT * FROM users WHERE name = ?";
PreparedStatement ps = connection.prepareStatement(sql);
ps.setString(1, userInput);
ResultSet rs = ps.executeQuery();

String sql = "SELECT * FROM users WHERE name = ?";
PreparedStatement ps = connection.prepareStatement(sql);
ps.setString(1, userInput);
ResultSet rs = ps.executeQuery();