dbSheetにおいて、クロスサイト・スクリプティングやSQLインジェクションに対するセキュリティ対策はどのようになっているか知りたい。

Answer

１）サーバー管理画面

　ログイン画面において、SQLインジェクション対策、クロスサイト・スクリプティング対策の検証を行い、問題がないことを確認しております。

２）dbSheet実行版

　Excel 上の入力セルでのSQLインジェクション対策として、SQL実行の設定時にSQLパラメータを

　使用できるようになっております。

　SQL文と「SQLパラメータ」は別々にＤＢ側（ユーザーDB）に送信されるので、「SQLインジェクション

　対策」になります。

一方で、直接SQL文にセルの値（アドレス）を記述した場合の「インジェクション」対策機能はございません。

この場合、設定された情報がそのままDB側（ユーザーDB）に送信されることになります。

このような場合のSQLインジェクション対策としては、EXCEL のシート側に、SQL インジェクションとして疑われるような文字列が入力セルに入力されていないか、EXCEL の関数等を利用して、エラーチェックする仕掛けを組み込む必要があります。

また、「10200：テーブル更新」でテーブルに反映されるセル値、変数値は SQL 文として認識されません。

したがって「10200：テーブル更新」においてはSQL インジェクションは発生いたしません。

なお、実行版は専用ソフトになりますので、ブラウザが仲介するクロスサイトスクリプティングなどの対象となることはありません。