問64
頻出度★★★
SQLインジェクションの対策などで用いられ, 処理の誤動作を招かないように, 利用者がWebサイトに入力した内容に含まれる有害な文字列を無害な文字列に置き換えることを何と呼ぶか。
平成28年度 春期 ITパスポート試験 問64
这道题的解析和你的作答记录。
解説
問 64
- ア
正解 正确答案是 ア「净化处理（Sanitizing）」。净化处理（sanitizing、无害化）是指：把用户在 Web 网站上输入的数据中所含的、会被当作 SQL 语句或脚本来解释的危险字符（例如「'」「<」「>」等），替换为无害字符串或将其去除的处理。通过这种处理，可以防御 SQL 注入和跨站脚本这类利用输入值使处理发生误动作的攻击。由于它与题干「将有害字符串替换为无害字符串」的说明完全一致，所以 ア 正确。
错误イ
流式传输（Streaming）是一种在视频、音频等数据尚未全部下载完毕之前，一边接收一边依次播放的传输方式。与输入值的无害化无关。
错误ウ
网络共享（Tethering）是一种通过智能手机等移动终端，让 PC 或平板电脑接入互联网的功能。它是一种共享网络连接的手段，与安全防护中的字符串转换无关。
错误エ
逆向工程（Reverse engineering）是一种对既有的产品或软件进行拆解、分析，从而弄清其结构、规格和设计信息的方法。它与输入数据的无害化处理是不同的概念。
ここがポイント
- 净化处理（无害化）= 把输入值中的危险字符替换为无害字符串或将其去除，从而防御 SQL 注入、XSS 等攻击的措施。它与转义处理（escape）也密切相关。
- SQL 注入是一种在输入框中混入非法的 SQL 语句片段，从而非法操作数据库的攻击；其典型的防护措施就是净化处理和使用占位符（绑定机制）。
用語