平成26年度 春期 応用情報技術者 問40

正解 ア

SQLインジェクションには、SQL文を静的プレースホルダで組み立てる対策が有効です。

SQLインジェクションは、入力値にSQLの断片を混ぜてSQL文を改変する攻撃です。静的プレースホルダは、SQL文の構造をあらかじめ確定させ、入力値を後から値としてだけ埋め込む方式です。入力値がSQL文の構文として解釈されないため、SQL文の改変を防げます。IPA（情報処理推進機構）の「安全なウェブサイトの作り方」でも根本的な対策として挙げられています。

イ：任意の外部サイトのスタイルシートを取り込むと、スクリプトを埋め込まれるおそれがあります。クロスサイトスクリプティングの対策としては、取り込みを許可しないことが求められます。

ウ：クロスサイトリクエストフォージェリには、POSTメソッドと秘密情報（トークン）の照合で対策します。GETメソッドではパラメータがURLに載るため、対策になりません。

エ：セッションIDを固定にすると、推測や盗用がしやすくなります。セッションハイジャックには、推測困難なセッションIDを使い、ログイン時に新しく発行する対策が有効です。

出典：平成26年度 春期 応用情報技術者試験 問40