以下のTogetterでまとめて頂いているが、大垣靖男氏と「何故氏はSQLインジェクション対策においてプリペアドステートメントの利用よりも入力データのエスケープ処理を優先するのか」について議論させて頂いた。
SQLインジェクション対策としてのプリペアドステートメントとエスケープについての議論
僕の疑問は一番最初の方にもあるが、「プリペアドステートメント+プレースホルダーで複雑な自作エスケープなどせずともシンプルにさほどの技術力も無く少なくとも『SQLインジェクション対策』としては機能するのに、何故そこまでエスケープ処理対応を一義に拘るのか」という点だった。
この優先順位度合いは以下のブログの部分からも明らかだ。
実際の開発に利用するコーディングルールでは出力先によって「API ＞ エスケープ ＞ バリデーション」の順番になる場合もありますが、セキュリティを維持するための重要度は「エスケープ ＞ API ＞ バリデーション」であることは変わりません。
さて経緯は上記Togetterに譲るが、結論として何故氏はそのような無謀な主張を延々繰り返すか、氷解したような気がする。
少しツイートもしたが誤解があるかも知れないのでもう少し詳しく説明しておきたい。またこれは以外に面白い視点も内包しているかも知れない。