SQL 인젝션 대책으로서 플레이스홀더를 사용하는 프리페어드 스테이트먼트(매개변수화 쿼리)가, 입력 안의 위험한 문자를 제거하는 방법보다 근본적인 대책으로 여겨지는 이유로 올바른 것은?

정답: C. SQL 문의 구조를 먼저 확정하고 입력은 나중에 값으로만 넘기므로, 입력에 어떤 문자가 포함되어 있어도 명령의 일부로 해석되지 않기 때문에

프리페어드 스테이트먼트에서는 먼저 'SELECT … WHERE id = ? AND password = ?'처럼 값 부분을 기호(플레이스홀더)로 한 SQL 문을 데이터베이스에 넘겨 구조를 확정하고, 그 후에 입력을 값으로만 결합합니다(바인드). 입력은 처음부터 끝까지 데이터로 취급되므로, 따옴표 등이 포함되어 있어도 조건을 덧붙이는 것 같은 명령의 일부가 되지 않습니다. 입력에서 위험한 문자를 제거하거나 이스케이프하는 방법은 데이터베이스의 종류나 문자 코드마다 다른 세세한 규칙을 빠짐없이 다루어야 하며, 한 곳이라도 빠지면 공격이 성립합니다. 또한 브라우저 쪽의 입력 검사는 공격자가 브라우저를 거치지 않고 직접 요청을 보내면 우회되므로, 편의를 위한 것이지 보안 대책은 되지 않습니다. 여기에 더해 데이터베이스에 접속하는 계정의 권한을 최소로 해 두면 피해를 줄일 수 있습니다.