良し悪しはまた別に置いといて。 SQL::String - An object representation of a chunk of SQL - metacpan.org #!/usr/bin/perl use strict; use warnings; use Data::Dump qw(dump); use Perl6::Say; use SQL::String; sub ss { my ($sql, @params) = @_; SQL::String->new($sql, @params); } my ($country_min_population, $city_min_population) = (50000000, 1000000); my $sub_query = ss(q|SELECT Code FROM Country WHERE Population > ?|,
MySQL のチューニング、と言った場合には、サーバーパラメータの調整や EXPLAIN コマンドを利用したクエリ実行計画の最適化が話題に上ることが多いです。しかし、発行する全ての SQL について、いちいち EXPLAIN コマンドを使って確認していては、いくら時間があってもたりません。チューニングを効率的に進めるには、まず、ボトルネックとなっている SQL クエリを特定し、次にその最適化を行うべきです。 ではどのようにして、ボトルネックを特定するのか。MySQL Conference & Expo 2009 のキーノートにおいて Mark Callaghan 氏は、Google では SHOW PROCESSLIST コマンドを使った統計的アプローチを使っていると述べていらっしゃいます (参照: MySQLConf 09: Mark Callaghan, "This is Not a
なぜMySQLのサブクエリは遅いのか。
よくMySQLはサブクエリが弱いと言われるが、これは本当だろうか？半分は本当で半分は嘘である。MySQLのサブクエリだってなんでもかんでも遅いわけではない。落とし穴をしっかり避け、使いどころを間違えなければサブクエリも高速に実行できるのである。今日はMySQLがどんな風にサブクエリを実行し、どのような場合に遅いのかということについて説明しよう。 EXPLAINで実行計画を調べた際に、select_typeにはクエリの種類が表示されるのだが、代表的なサブクエリには次の3つのパターンがある。 SUBQUERY DEPENDENT SUBQUERY DERIVED 結論から言おう。遅いのは2番目、DEPENDENT SUBQUERYである。DEPENDENT SUBQUERYとはいわゆる相関サブクエリに相当するもので、サブクエリにおいて外部クエリのカラムを参照しているサブクエリのことである。そし
日頃より楽天のサービスをご利用いただきましてありがとうございます。 サービスをご利用いただいておりますところ大変申し訳ございませんが、現在、緊急メンテナンスを行わせていただいております。 お客様には、緊急のメンテナンスにより、ご迷惑をおかけしており、誠に申し訳ございません。 メンテナンスが終了次第、サービスを復旧いたしますので、 今しばらくお待ちいただけますよう、お願い申し上げます。
Enterprise Strategy Group: Go-to-market Expertise to Help You Win
こんにちは。最近ガスを止められ温もりの無い生活を送っている松田です。 今回は最近自分が知ったMySQLの小技をいくつか書いてみます。 んなもん常識だろ！ってネタがあっても優しく見守ってあげてください。 まず今回の実行サンプルには以下のテーブルを使ってます。 mysql> SELECT * FROM user_m; +---------+----------+---------------------+ | user_id | name | create_datetime | +---------+----------+---------------------+ | 1 | atsushi | 2007-05-17 21:53:40 | | 2 | joe | 2007-05-17 21:53:59 | | 3 | masah
my @a = qw(foo bar baz); こんな配列から ?,?,? という文字列を使いたい場合があります。 例えば、 SELECT * FROM hoge WHERE user_id IN (?,?,?); みたいな SQL にする場合のプレースホルダを作ると言った具合に。 社内 IRC で、clouder さんが言い出して、 18:27 <clouder>join(',', map('?', @a)) 18:27 <clouder> こんなのしか思いつかない。。 と言う。 まぁ、それが妥当というか、普通それが思い浮かぶよなーって思ってたら、会社の dos さんという人が 19:15 <dos> '?,' x @a; で s/,$//; というｿﾘｭｰｼｮﾝ とか、異様なことを言い出した。 sub placeholder_from_array { return join(',',
当記事はSQLインジェクションのまとめ | Think Twiceに移転しました。
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2007年11月26日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり 本稿ではSQLインジェクション対策として、SQLのエスケープ処理の方法について検討する。 最近SQLインジェクション攻撃が猛威を振るっていることもあり、SQLインジェクションに対する解説記事が増えてきたようだが、対策方法については十分に書かれていないように感じる。非常に稀なケースの対応が不十分だと言っているのではない。ごく基本的なことが十分書かれていないと思うのだ。 SQLインジェクション対策には二通りある。バインド機構を使うものと、SQLのエスケープによるものだ。このうち、SQLのエスケープについて、十分
情報処理推進機構（IPA）は4月18日、WebサイトのSQLインジェクションの脆弱性を検出する無償のツール「iLogScanner」を公開した。 iLogScannerは、ユーザーが用意したWebサーバのアクセスログの中から、WebサイトへのSQLインジェクション攻撃によく用いられる文字列を検出し、Webサイトが日ごろどれだけの攻撃を受けているか、また、Webサイトの脆弱性により攻撃が成功した可能性があるかを検出し、解析結果をリポート出力するツール。ただし、簡易的なツールであり、攻撃を100％検出できるわけではない。IPAのWebサイトからダウンロードし、利用者のWebブラウザ上で実行するJavaアプレット形式のプログラムとなっている。 iLogScannerの稼働環境は、OSがWindows XP Professional SP2、WebブラウザがInternet Explorer 7、
分析可能なSQLデータを整えるには、SQL言語の中でも特定の節や演算子の使い方を理解する必要がある。本稿で紹介するTipsでは、望む結果を得るためにはどのようにステートメントを構築すればよいかということを紹介する。 適切な意味を持つようにデータを整えるのはだ。ときには、単純にソートを行うだけでよい場合もある。また、ときにはグループ化を行って分析、要約化する必要がある場合もある。幸い、SQLでは多数の節や演算子が提供されているため、それらを用いてソートやグループ化、要約化を行うことが可能だ。以下に述べるTipsを読めば、いつソートを行うべきか、いつグループ化するべきか、そしていつどのように要約化するべきかが、明確に理解できるようになるだろう。それぞれの節と演算子に関するより詳しい情報はBooks Onlineを参照して欲しい。 ＃1：ソートによって順番を定める たいていの場合、データにとって
ドットインストール代表のライフハックブログ
MySQL 編9 - 表結合(join)、単純結合、等価結合、外部結合、再帰結合 様々な連結テーブルが作成できるが、ビューの作成(create view) はサポート されていないようである。 ■単純結合 ・現実的に単純結合を使う機会はないだろう。 次の例では、test2m の各レコードに testm の全レコードが結合される。 test2m のレコード数 x testm のレコード数の結果が問い合わされる。 create table testm ( key1 char(8), data1 int8, data2 int8, data3 int8 ) type=InnoDB; insert into testm values ('a001', 1, 2, 3); insert into testm values ('a011', 1, 2, 3); insert into testm va
MySQLを使い出して間もないのですが（というよりDBの勉強を始めて間もない・・・）、SQL文を発行する際、問い合わせ条件で［where］が使われます。 表結合の条件指定で［on］が見かけられます。また、［on］を用いた構文に［where］を使っている例題は、調べた範囲では見つけることができません。 ［on］と［where］との違いは何でしょうか？ なぜ、使い分ける必要があるのでしょうか？ この辺がこんがらがって、うまく理解を進めることができません。 また、結合構文の詳しく書かれた本を紹介していただきませんか？専門的で単調な記述法でなく、一般人にもわかりやすく例文が豊富で、ひとつの構文に対し多方向からの説明がなされている書籍ですとありがたいのですが・・・。 入門書は数冊読みましたが、前回の質問でな～んも理解していないことがわかりました。 http://q.hatena.ne.jp/1174
顧客データがすべて盗まれる？！～OSやデータベースへの攻撃～：Webアプリケーションに潜むセキュリティホール（2）（1/2 ページ） ※ご注意 他社および他組織のWebサイトなどへのポートスキャンおよびデータの取得などの行為で得た情報を侵入などに悪用するか、または同じ目的を持つ第三者に提供した時点で違法となります。ご注意ください。 本稿の内容を検証する場合は、必ず影響を及ぼさない限られた環境下で行って下さい。 また、本稿を利用した行為による問題に関しましては、筆者および株式会社アットマーク・アイティは一切責任を負いかねます。ご了承ください。 「第1回 サーバのファイルが丸見え？！」では、「Forceful Browsing（強制的ブラウズ）」や「Path Traversal（パスの乗り越え）」によって、任意のファイルを読み出されてしまう危険性について紹介した。 今回は、Webアプリケーショ
DBI/DBDの使い方 この文章は、perlでcgi等のプログラムができ、SQLの基本的な使い方を知っているひとを対象に書かれています。 また、DBI/DBDモジュールを利用するには、perl5のオブジェクト指向（風）プログラミングの知識もある程度以上は必要です。 DBI/DBDとは、perlとデータベースの間をとりもってくれる汎用インターフェイスです。 DBIモジュールとDBDモジュールからできており、DBDモジュールは、各データベースごとに存在します。 プログラマは、DBIモジュールのルールにしたがってプログラミングすることで、どのようなデータベースにも、同じようにアクセスするプログラムを書くことができます。 ここでは、DBD/pg（PostgreSQL用DBDモジュール）を使った例を提示しますが、基本的には、どのようなDB相手でも同様のことができます。
【関連記事】 本内容についてのアップデート記事を公開しています。あわせてご確認ください（編集部） Security&Trustウォッチ（60） 今夜こそわかる安全なSQLの呼び出し方 ～ 高木浩光氏に聞いてみた http://www.atmarkit.co.jp/fsecurity/column/ueno/60.html Webアプリケーションに対する攻撃手法の1つであるSQLインジェクションの存在は、かなり広く知られるようになった。しかし、その対策はまだ本当に理解されていないように思える。フォームから渡された値の特殊文字をエスケープしたり、PHPのmagic_quotes_gpcといった自動エスケープ機能をオンにするだけで対策したつもりになっていないだろうか。 基本はもちろん、セカンドオーダーSQLインジェクションやマルチバイト文字を利用したSQLインジェクションの攻撃パターンや、その対
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
