CA3001:SQL インジェクションの脆弱性のコードレビュー

[アーティクル]
02/03/2024

プロパティ	値
ルール ID	CA3001
Title	SQL インジェクションの脆弱性のコードレビュー
[カテゴリ]	Security
修正が中断か中断なしであるか	なし
.NET 8 では既定で有効	いいえ

原因

信頼できない可能性のある HTTP 要求入力が SQL コマンドのテキストに到達した場合。

既定で、このルールではコードベース全体を分析しますが、これは構成可能です。

規則の説明

信頼されていない入力と SQL コマンドを処理するときには、SQL インジェクション攻撃に注意してください。 SQL インジェクション攻撃では、悪意のある SQL コマンドが実行され、アプリケーションのセキュリティと整合性が損なわれる可能性があります。一般的な手法としては、リテラル文字列の区切りには単一引用符またはアポストロフィ、コメントには二重ダッシュ、ステートメントの末尾にはセミコロンを使用する方法があります。詳細については、「 SQL Injection」を参照してください。

このルールは、SQL コマンドのテキストに到達する HTTP 要求からの入力の検索を試みます。

注意

このルールでは、アセンブリ間のデータを追跡することはできません。たとえば、あるアセンブリが HTTP 要求入力を読み取り、SQL コマンドを実行する別のアセンブリにそれを渡す場合、このルールでは警告が生成されません。

注意

このルールでメソッド呼び出し間のデータフローがどれほど深く分析されるかについては、構成可能な制限があります。 EditorConfig ファイルでこの制限を構成する方法については、「Analyzer Configuration」(Analyzer の構成) を参照してください。

違反の修正方法

パラメーター化した SQL コマンドまたはストアドプロシージャを使用し、信頼できない入力をパラメーターに入れて指定します。

どのようなときに警告を抑制するか

その入力が既知の安全な文字のセットに照らして常に検証されることがわかっている場合は、このルールによる警告を抑制できます。

警告を抑制する

単一の違反を抑制するだけの場合は、ソースファイルにプリプロセッサディレクティブを追加して無効にしてから、規則をもう一度有効にします。

#pragma warning disable CA3001
// The code that's violating the rule is on this line.
#pragma warning restore CA3001

ファイル、フォルダー、またはプロジェクトの規則を無効にするには、構成ファイルでその重要度を none に設定します。

[*.{cs,vb}]
dotnet_diagnostic.CA3001.severity = none

詳細については、「コード分析の警告を抑制する方法」を参照してください。

分析するコードを構成する

次のオプションを使用して、コードベースのどの部分に対してこのルールを実行するかを構成します。

特定のシンボルを除外する
特定の型とその派生型を除外する

これらのオプションを構成できる対象は、この規則だけ、それを適用するすべての規則、それを適用するこのカテゴリ (セキュリティ) のすべての規則のいずれかです。詳細については、「コード品質規則の構成オプション」を参照してください。

特定のシンボルを除外する

型やメソッドなど、特定のシンボルを分析から除外することができます。たとえば、MyType という名前の型のコードで規則を実行しないように指定するには、プロジェクトの .editorconfig ファイルに次のキーと値のペアを追加します。

dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType

オプションの値で使用できるシンボル名の形式 (| で区切ります):

シンボル名のみ (包含する型または名前空間に関係なく、その名前が指定されたすべてのシンボルが含まれます)。
そのシンボルのドキュメント ID 形式の完全修飾名。各シンボル名には、メソッドには M:、型には T:、名前空間には N: のように、シンボルの種類のプレフィックスが必要です。
コンストラクターには .ctor、静的コンストラクターには .cctor。

例 :

オプション値	まとめ
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType`	`MyType` という名前のすべてのシンボルを検索します。
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType1\|MyType2`	`MyType1` または `MyType2` という名前のすべてのシンボルを検索します。
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS.MyType.MyMethod(ParamType)`	指定された完全修飾シグネチャを持つ特定のメソッド `MyMethod` を検索します。
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS1.MyType1.MyMethod1(ParamType)\|M:NS2.MyType2.MyMethod2(ParamType)`	それぞれの完全修飾シグネチャを持つ特定のメソッド `MyMethod1` または `MyMethod2` を検索します。

特定の型とその派生型を除外する

分析から特定の型とその派生型を除外できます。たとえば、MyType という名前の型のメソッドとその派生型で規則を実行しないように指定するには、プロジェクトの .editorconfig ファイルに次のキーと値のペアを追加します。

dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType

オプションの値で使用できるシンボル名の形式 (| で区切ります):

型の名前のみ (包含する型または名前空間に関係なく、その名前が指定されたすべての型が含まれます)。
そのシンボルのドキュメント ID 形式の完全修飾名 (オプションで T: プレフィックスも使用可)。

例 :

オプション値	まとめ
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType`	`MyType` という名前のすべての型と、そのすべての派生型を検索します。
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType1\|MyType2`	`MyType1` または `MyType2` という名前のすべての型と、そのすべての派生型を検索します。
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = M:NS.MyType`	指定された完全修飾名を持つ特定の型 `MyType` と、そのすべての派生型を検索します。
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = M:NS1.MyType1\|M:NS2.MyType2`	それぞれの完全修飾名を持つ特定の型 `MyType1` または `MyType2` と、そのすべての派生型を検索します。

疑似コードの例

違反

using System;
using System.Data;
using System.Data.SqlClient;

namespace TestNamespace
{
    public partial class WebForm : System.Web.UI.Page
    {
        public static string ConnectionString { get; set; }

        protected void Page_Load(object sender, EventArgs e)
        {
            string name = Request.Form["product_name"];
            using (SqlConnection connection = new SqlConnection(ConnectionString))
            {
                SqlCommand sqlCommand = new SqlCommand()
                {
                    CommandText = "SELECT ProductId FROM Products WHERE ProductName = '" + name + "'",
                    CommandType = CommandType.Text,
                };

                SqlDataReader reader = sqlCommand.ExecuteReader();
            }
        }
    }
}

Imports System
Imports System.Data
Imports System.Data.SqlClient
Imports System.Linq

Namespace VulnerableWebApp
    Partial Public Class WebForm
        Inherits System.Web.UI.Page

        Public Property ConnectionString As String

        Protected Sub Page_Load(sender As Object, e As EventArgs)
            Dim name As String = Me.Request.Form("product_name")
            Using connection As SqlConnection = New SqlConnection(ConnectionString)
                Dim sqlCommand As SqlCommand = New SqlCommand With {.CommandText = "SELECT ProductId FROM Products WHERE ProductName = '" + name + "'",
                                                                    .CommandType = CommandType.Text}
                Dim reader As SqlDataReader = sqlCommand.ExecuteReader()
            End Using
        End Sub
    End Class
End Namespace

パラメーター化による解決策

using System;
using System.Data;
using System.Data.SqlClient;

namespace TestNamespace
{
    public partial class WebForm : System.Web.UI.Page
    {
        public static string ConnectionString { get; set; }

        protected void Page_Load(object sender, EventArgs e)
        {
            string name = Request.Form["product_name"];
            using (SqlConnection connection = new SqlConnection(ConnectionString))
            {
                SqlCommand sqlCommand = new SqlCommand()
                {
                    CommandText = "SELECT ProductId FROM Products WHERE ProductName = @productName",
                    CommandType = CommandType.Text,
                };

                sqlCommand.Parameters.Add("@productName", SqlDbType.NVarChar, 128).Value = name;

                SqlDataReader reader = sqlCommand.ExecuteReader();
            }
        }
    }
}

Imports System
Imports System.Data
Imports System.Data.SqlClient
Imports System.Linq

Namespace VulnerableWebApp
    Partial Public Class WebForm
        Inherits System.Web.UI.Page

        Public Property ConnectionString As String

        Protected Sub Page_Load(sender As Object, e As EventArgs)
            Dim name As String = Me.Request.Form("product_name")
            Using connection As SqlConnection = New SqlConnection(ConnectionString)
                Dim sqlCommand As SqlCommand = New SqlCommand With {.CommandText = "SELECT ProductId FROM Products WHERE ProductName = @productName",
                                                                    .CommandType = CommandType.Text}
                sqlCommand.Parameters.Add("@productName", SqlDbType.NVarChar, 128).Value = name
                Dim reader As SqlDataReader = sqlCommand.ExecuteReader()
            End Using
        End Sub
    End Class
End Namespace

ストアドプロシージャによる解決策

using System;
using System.Data;
using System.Data.SqlClient;

namespace TestNamespace
{
    public partial class WebForm : System.Web.UI.Page
    {
        public static string ConnectionString { get; set; }

        protected void Page_Load(object sender, EventArgs e)
        {
            string name = Request.Form["product_name"];
            using (SqlConnection connection = new SqlConnection(ConnectionString))
            {
                SqlCommand sqlCommand = new SqlCommand()
                {
                    CommandText = "sp_GetProductIdFromName",
                    CommandType = CommandType.StoredProcedure,
                };

                sqlCommand.Parameters.Add("@productName", SqlDbType.NVarChar, 128).Value = name;

                SqlDataReader reader = sqlCommand.ExecuteReader();
            }
        }
    }
}

Imports System
Imports System.Data
Imports System.Data.SqlClient
Imports System.Linq

Namespace VulnerableWebApp
    Partial Public Class WebForm
        Inherits System.Web.UI.Page

        Public Property ConnectionString As String

        Protected Sub Page_Load(sender As Object, e As EventArgs)
            Dim name As String = Me.Request.Form("product_name")
            Using connection As SqlConnection = New SqlConnection(ConnectionString)
                Dim sqlCommand As SqlCommand = New SqlCommand With {.CommandText = "sp_GetProductIdFromName",
                                                                    .CommandType = CommandType.StoredProcedure}
                sqlCommand.Parameters.Add("@productName", SqlDbType.NVarChar, 128).Value = name
                Dim reader As SqlDataReader = sqlCommand.ExecuteReader()
            End Using
        End Sub
    End Class
End Namespace

次の方法で共有

CA3001:SQL インジェクションの脆弱性のコードレビュー

原因

規則の説明

違反の修正方法

どのようなときに警告を抑制するか

警告を抑制する

分析するコードを構成する

特定のシンボルを除外する

特定の型とその派生型を除外する

疑似コードの例

違反

パラメーター化による解決策

ストアドプロシージャによる解決策

その他のリソース

次の方法で共有

CA3001:SQL インジェクションの脆弱性のコード レビュー

原因

規則の説明

違反の修正方法

どのようなときに警告を抑制するか

警告を抑制する

分析するコードを構成する

特定のシンボルを除外する

特定の型とその派生型を除外する

疑似コードの例

違反

パラメーター化による解決策

ストアド プロシージャによる解決策

その他のリソース

CA3001:SQL インジェクションの脆弱性のコードレビュー

ストアドプロシージャによる解決策