LaravelのSPATIEパッケージは、主に安全なクエリ構築方法を使用して、ユーザーの入力を生のSQLクエリに直接埋め込むことを避けるフィルタリングメカニズムを通じて、SQL注入を防ぐのに役立ちます。 SQLインジェクションの防止に役立つSpatieパッケージの重要な機能と機能は次のとおりです。
-polatefilters()メソッド：この関数を使用すると、クエリで許可されているフィルターを指定できます。フィルターを明示的に許可されたもののみに制限することにより、攻撃者が予期しないまたは安全でないクエリパラメーターを介して悪意のあるSQLを注入することを防ぎます[2]。
- Laravelのクエリビルダーと雄弁なORMの使用：Spatieパッケージは、パラメーター化されたクエリと準備されたステートメントを内部的に使用するLaravelのクエリビルダーと雄弁なORMをレバレッジします。これらのメカニズムは、ユーザー入力を生のSQL文字列に連結するのではなく、パラメーターとして自動的に結合し、それにより注射攻撃を防ぎます[1] [4]。
- 安全でない生のSQL関数の回避：パッケージは、ユーザー入力を直接補間する生のSQLクエリを回避することを奨励します。代わりに、クエリレイヤーに到達する前に入力を消毒および検証するフィルターやスコープなどの安全な抽象化の使用を促進します[2] [3]。
要約すると、Spatieパッケージは、Laravelの安全なクエリビルダーに依存するフィルタリングとクエリのためのより安全なドメイン固有の言語(DSL)を提供することにより、SQLインジェクション予防を支援します。 `appodfilters()`のような特定の機能は、ホワイトリストの入力を助け、安全で検証されたパラメーターのみがクエリで使用されるようにし、SQL注入リスクを効果的に緩和します[2]。
引用：
[1] https://escape.tech/blog/laravel-sql-injection-guide/
[2] https://www.reddit.com/r//laravel/comments/bbxhoc/unsafe_sql_functions_be_aware_of_your/
[3] https://stitcher.io/blog/unsafe-sql-functions-in-laravel
[4] https://www.kiuwan.com/blog/top-5-best-practices-for-developers-on-preventing-sql-injections--attacks/
[5] https://www.baeldung.com/sql-injection
[6] https://stackoverflow.com/questions/60174/how-can-i-prevent-sql-injection-in-php
[7] https://stackoverflow.com/questions/1862036/how-do-i-protect-this-function-from-sql-injection
[8] https://cheatsheetseries.owasp.org/cheatsheets/sql_injection_prevention_cheat_sheet.html