Contents
はじめに
PHPのPDO（PHP Data Objects）は、データベースへの接続やクエリ実行を抽象化してくれる便利な拡張機能です。しかし、使い方を誤るとSQLインジェクションなどの重大なセキュリティリスクを招く可能性があります。本記事では、PDOでSQLを扱う際の注意点やベストプラクティスを詳しく解説します。
PDOの基本とメリット
PDOは複数のデータベース（MySQL、PostgreSQL、SQLiteなど）に対応し、統一的なインターフェースを提供します。プリペアドステートメントを利用できるため、バインド処理によるSQLインジェクション対策が容易になります。
SQLインジェクションの基本リスク
ユーザー入力を直接SQLに組み込むと、悪意ある文字列によって意図しないクエリが実行される危険があります。たとえば「' OR '1'='1」などを挿入されると、全レコードを取得・削除される可能性があります。
プリペアドステートメントとバインドの活用
PDOではまずSQL文を定義し、パラメータをプレースホルダ（:param）で置き換えます。その後、bindValueやbindParamで値を結び付けてから実行することで、エスケープ処理を自動化し、安全にパラメータを扱えます。下記はLINEユーザー情報を登録・更新する例です。
// 既存ユーザーをチェック
$checkSql = "SELECT id FROM line_users WHERE line_id = :line_id LIMIT 1";
$pdo = $this->Create_PDO();
$stmt = $pdo->prepare($checkSql);
$stmt->bindValue(':line_id', $lineId, PDO::PARAM_STR);
$stmt->execute();
if ($stmt->rowCount() > 0) {
// 更新処理
$sql = "
UPDATE line_users
SET display_name = :display_name,
picture_url = :picture_url,
status_message = :status_message,
updated_at = :updated_at
WHERE line_id = :line_id
";
$stmt = $pdo->prepare($sql);
$stmt->bindValue(':line_id', $lineId, PDO::PARAM_STR);
$stmt->bindValue(':display_name', $profile['displayName'], PDO::PARAM_STR);
$stmt->bindValue(':picture_url', $profile['pictureUrl'] ?? '', PDO::PARAM_STR);
$stmt->bindValue(':status_message', $profile['statusMessage'] ?? '', PDO::PARAM_STR);
$stmt->bindValue(':updated_at', date('Y-m-d H:i:s'), PDO::PARAM_STR);
$stmt->execute();
error_log('LINEユーザー更新成功: ' . $lineId);
} else {
// 新規登録
$sql = "
INSERT INTO line_users
(line_id, display_name, picture_url, status_message, created_at, updated_at)
VALUES
(:line_id, :display_name, :picture_url, :status_message, :created_at, :updated_at)
";
$stmt = $pdo->prepare($sql);
$stmt->bindValue(':line_id', $lineId, PDO::PARAM_STR);
$stmt->bindValue(':display_name', $profile['displayName'], PDO::PARAM_STR);
$stmt->bindValue(':picture_url', $profile['pictureUrl'] ?? '', PDO::PARAM_STR);
$stmt->bindValue(':status_message', $profile['statusMessage'] ?? '', PDO::PARAM_STR);
$stmt->bindValue(':created_at', date('Y-m-d H:i:s'), PDO::PARAM_STR);
$stmt->bindValue(':updated_at', date('Y-m-d H:i:s'), PDO::PARAM_STR);
$stmt->execute();
error_log('新規LINEユーザー登録成功: ' . $lineId);
}
バインド時のPARAM_定数選択
文字列には PDO::PARAM_STR、整数には PDO::PARAM_INT など適切な型を指定しましょう。型を厳格にすることで、予期せぬ型変換による脆弱性を防止できます。
エラーハンドリングとログ出力
PDOのエラー発生時には例外モードを設定（PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION）し、try-catchで捕捉しましょう。ログにはエラー内容や実行されたSQL、バインド値を記録すると、障害解析が容易になります。
トランザクション管理と排他制御
複数テーブルへの同時書き込み処理など、原子性を保証したい場合はトランザクションを活用します。beginTransaction() → commit() ／ rollBack() を適切に組み合わせ、デッドロックやレースコンディションにも注意してください。
その他のセキュリティ強化策
・最小権限のDBユーザーを作成し、不要な権限を付与しない。
・プレースホルダが使えない動的テーブル名やカラム名にはホワイトリスト方式を採用。
・SSL/TLSを使って通信経路を暗号化。
・DBに接続するパスワードは環境変数や外部設定ファイルで管理。
まとめ
PDOを正しく使いこなすことで、SQLインジェクションのリスクを大幅に低減できます。プリペアドステートメント、適切なバインド、例外管理、トランザクションの活用など、基本を押さえて安全なアプリケーションを構築しましょう。