Go言語のSQLインジェクション対策を完全解説！初心者でも安全なデータベース操作がわかる
生徒
「Go言語でデータベースを使うとき、セキュリティが危ないって聞いたんですが、本当ですか？」
先生
「入力された文字の扱い方を間違えると、データを盗まれたり消されたりする危険があります。」
生徒
「文字を入力するだけで、そんなことが起きるんですか？」
先生
「はい。その代表的な攻撃がSQLインジェクションです。仕組みから順番に見ていきましょう。」
1. SQLインジェクションとは何か
SQLインジェクションとは、データベースに送る命令文に、悪意のある文字を混ぜ込む攻撃方法です。
SQLとは、データベースに「データを探す」「追加する」「消す」といったお願いをするための言葉です。
本来はプログラムが作った命令だけが送られるべきですが、入力された文字をそのまま使うと、命令の中身を書き換えられてしまいます。
2. なぜSQLインジェクションが危険なのか
SQLインジェクションが成功すると、本来見られないはずの個人情報が盗まれたり、データが消されたりします。
場合によっては、管理者しかできない操作まで実行されることもあります。
これは、鍵付きの扉だと思っていた場所に、実は裏口があったような状態です。
3. 危険な書き方の例
まずは、やってはいけない例を見てみましょう。
query := "SELECT * FROM users WHERE name = '" + name + "'"
row := db.QueryRow(query)
この書き方では、入力された文字がそのままSQL文の一部になります。
もし特別な文字が入力されると、SQLの意味が変わってしまいます。
4. プレースホルダを使った安全な書き方
Go言語でSQLインジェクション対策を行う基本は、プレースホルダを使うことです。
プレースホルダとは、「あとから値を入れる場所」を示す記号です。
row := db.QueryRow(
"SELECT * FROM users WHERE name = ?",
name,
)
この方法では、入力された文字は「データ」として扱われ、命令文として解釈されません。
そのため、SQLインジェクションを防ぐことができます。
5. なぜプレースホルダが安全なのか
プレースホルダを使うと、SQL文の形が先に確定します。
あとから渡す値は、ただの文字や数字として処理されます。
これは、申込用紙の決まった欄に文字を書くようなもので、文章全体を書き換えることはできません。
6. ExecやQueryでも同じ考え方
データを追加したり更新したりするときも、考え方は同じです。
_, err := db.Exec(
"INSERT INTO users(name, age) VALUES(?, ?)",
name,
age,
)
文字を直接つなげず、必ずプレースホルダを使うことが大切です。
7. 初心者が勘違いしやすいポイント
入力チェックをしているから安全だと思い込むのは危険です。
どんな文字が来ても壊れない書き方をすることが、本当の対策です。
Go言語では、標準のdatabase/sqlの使い方を守るだけで、高い安全性を確保できます。
8. SQLインジェクション対策の基本ルール
SQL文とデータを文字列として結合しないことが最重要です。
必ずプレースホルダを使い、値は引数として渡しましょう。
このルールを守るだけで、Go言語のデータベース操作はぐっと安全になります。
【超入門】ゼロから始めるGo言語プログラミング：最速で「動くアプリ」を作るマンツーマン指導
「プログラミングの仕組み」が根本からわかる。Go言語でバックエンド開発の第一歩を。
本講座を受講することで、単なる文法の暗記ではなく、「プログラムがコンピュータの中でどう動いているか」という本質的な理解につながります。シンプルながら強力なGo言語（Golang）を通じて、現代のバックエンドエンジニアに求められる基礎体力を最短距離で身につけます。
具体的な開発内容と環境
【つくるもの】
ターミナル（黒い画面）上で動作する「対話型計算プログラム」や、データを整理して表示する「ミニ・ツール」をゼロから作成します。自分の書いたコードが形になる感動を体験してください。
【開発環境】
プロの現場でシェアNo.1のVisual Studio Code (VS Code)を使用します。インストールから日本語化、Go言語用の拡張機能設定まで、現場基準の環境を一緒に構築します。
この60分で得られる3つの理解
「なぜ動くのか」という設定の仕組みを理解し、今後の独学で詰まらない土台を作ります。
データの種類やメモリの概念など、他言語にも通じるプログラミングの本質を学びます。
ただ動くだけでなく、誰が見ても分かりやすい「綺麗なコード」を書くための考え方を伝授します。
※本講座は、将来的にバックエンドエンジニアやクラウドインフラに興味がある未経験者のためのエントリー講座です。マンツーマン形式により、あなたの理解度に合わせて進行します。
初めてのGo言語を一緒に学びましょう！
