🔒 SQLインジェクションを理解して対策する

攻撃者が入力: ' OR '1'='1
↓
実行されるSQL: SELECT * FROM users WHERE email = '' OR '1'='1'

// prisma/seed.mjs
import 'dotenv/config' // .env を読み込む
import { PrismaClient } from '../generated/prisma/client.js' // ESM では拡張子 .js まで書く
import { PrismaPg } from '@prisma/adapter-pg'
 
// Prisma 7 では adapter を渡して PrismaClient を作る
const adapter = new PrismaPg({
  connectionString: process.env.DATABASE_URL,
})
 
const prisma = new PrismaClient({ adapter })
 
async function main() {
  // 入れたいユーザーデータを配列でまとめる
  const users = [
    { name: 'Seed User 1', email: 'test1@example.com' },
    { name: 'Seed User 2', email: 'test2@example.com' },
    { name: 'Seed User 3', email: 'test3@example.com' },
    { name: 'Seed User 4', email: 'test4@example.com' },
    { name: 'Seed User 5', email: 'test5@example.com' },
    { name: 'Seed User 6', email: 'test6@example.com' },
    { name: 'Seed User 7', email: 'test7@example.com' },
    { name: 'Seed User 8', email: 'test8@example.com' },
    { name: 'Seed User 9', email: 'test9@example.com' },
    { name: 'Seed User 10', email: 'test10@example.com' },
  ]
 
  // createMany: 複数件をまとめて作成する
  await prisma.user.createMany({
    data: users,
    skipDuplicates: true, // 同じemailがあれば重複作成しない
  })
 
  console.log('usersテーブルにシードデータを約10件入れました')
}
 
main()
  .catch((error) => {
    console.error(error)
    process.exit(1)
  })
  .finally(async () => {
    await prisma.$disconnect() // 接続を閉じる
  })

npx prisma generate
node prisma/seed.mjs

// ⚠️ app/api/injection/route.js（脆弱なコード — 絶対に本番で使わない）
import { NextResponse } from 'next/server'
import { prisma } from '../../../lib/prisma'
 
export async function GET(request) {
  const { searchParams } = new URL(request.url)
  const email = searchParams.get('email')
 
  // ❌ 危険：ユーザー入力をSQLに直接埋め込んでいる
  const result = await prisma.$queryRawUnsafe(
    `SELECT * FROM users WHERE email = '${email}'`
  )
 
  return NextResponse.json(result)
}

# 通常のリクエスト
http://localhost:3000/api/injection?email=test1@example.com

# 攻撃リクエスト（シングルクォートを入れる）
http://localhost:3000/api/injection?email=' OR '1'='1

// ✅ 安全（Prismaの通常操作）
const result = await prisma.user.findFirst({
  where: { email: email }  // email がどんな文字列でも安全
})

-- プレースホルダーを使ったSQL（安全）
SELECT * FROM users WHERE email = $1
-- $1 に email の値が別途渡される

// ✅ 安全（テンプレートリテラルを使う）
const result = await prisma.$queryRaw`
  SELECT * FROM users WHERE email = ${email}
`
 
// ❌ 危険（$queryRawUnsafe に直接文字列を渡す）
const result = await prisma.$queryRawUnsafe(
  `SELECT * FROM users WHERE email = '${email}'`
)