MySQLプリペアドステートメントでSQLインジェクションを防ぐ

MySQLでは、プリペアードステートメントを使用することで、SQLインジェクション攻撃を防ぐことができます。プリペアードステートメントは、アプリケーションとデータベースサーバ間で使用される特殊なクエリ方法で、動的に渡されるパラメータのかわりにプレースホルダ（パラメータプレースホルダ）を使用し、データベースサーバ側でパラメータを安全にエスケープ処理したうえでクエリを実行します。

SQLインジェクションの防止にプリペアドステートメントを使用する手順を次に示します。

1. プレースホルダー付きのプレーステートメントを作成するには、prepareメソッドを利用してプレーステートメントを生成します。たとえば、
2. ステートメント名 を ‘SELECT * FROM users WHERE username = ?’ に基づいて準備する
3. パラメータバインド: SET 文を使用して、具体的なパラメータ値をプレースホルダにバインドします。例えば:
4. SET @username = ‘john’;
5. 执行预处理语句：使用EXECUTE语句执行预处理语句。例如：
6. EXECUTE statement_name USING @username;

プレースホルダーを使用したクエリを使用することで、データベースサーバーはSQLインジェクション攻撃に対する防御として、渡されたパラメータはSQLステートメントの一部として解釈されずに安全に処理されます。