プレースホルダで値と命令を分離。バインドした入力は命令化しないとは？

SQLインジェクションは入力を文字列連結でSQLに混入させ命令を注入する攻撃である。プレースホルダで値とSQL文を分離すれば、入力が構文に影響しなくなる。 ▍なぜ正解 プレースホルダ（?）を用いた準備済みSQLでは、バインドした入力はSQLの命令ではなく値として扱われる。入力に含めたSQL断片が命令として解釈されないため、SQLインジェクションを防げる。 ▍よくある間違い 暗号化やハッシュ化を注入対策と取り違える、文字列連結を安全と誤解する。 ▍試験の狙い SQLインジェクション対策は「入力を値として扱う（プレースホルダ）」が基本。