入力値検証とは？にゅうりょくちけんしょう
入力値検証とは、信頼境界の外から届いたデータを業務処理へ渡す前に、型・値域・長さ・文字種・書式が仕様どおりかを確かめ、外れたものは処理せず拒否する防御。対象は画面の入力欄に限らず、HTTPヘッダ、Cookie、隠しフィールド、連携先APIの応答まで含む。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
業務プログラムは、仕様どおりの値が渡ってくる前提で書かれている。ネットワーク越しに誰でも要求を組み立てられるようになると、その前提が崩れ、想定外の値がそのまま下層のSQLやファイル操作へ流れ込むようになった。境界の一点で仕様外を落とす層を置けば、後段の処理が個別に身を守らなくて済む。支援士試験では、脆弱性の指摘に対し「どこで何を検査するか」を日本語で書かせる形で問われる。
具体例
社内の経費申請システムで申請番号を受け取るなら、サーバ側で半角数字10桁であること、先頭のゼロを落としていないこと、既存レコードに存在することまで確かめてから照会処理へ渡す。ファイル添付では拡張子だけでなく、サイズ上限と実際の中身の形式も同じ場所で見る。
試験での引っ掛け
出力先のエスケープと役割が違う点が狙われる。氏名や自由記述のように任意の文字を許す項目は検証だけでは危険文字を落とせず、SQLへ渡すならプレースホルダ、HTMLへ出すなら実体参照化が別に要る。画面のJavaScriptだけで検査する構成も、要求を直接組み立てられれば素通りになる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。