[Skill 名] php-sql-audit

PHP SQL 注入監査（php-sql-audit）

PHP プロジェクトのソースコードを分析し、SQL 実行関連コード（PDO/mysqli/ORM）を特定します。ユーザー入力から SQL 構築点までを追跡し、SQL インジェクションの有無を検証し、完全な脆弱性レポートを出力します。

CRITICAL：省略の禁止と誤検知の禁止

• ルートパラメータに現れるすべての文字列ソース（GET/POST/Body/パラメータフィールド）が SQL に入るパスを監査する必要があります。
• 「データフロー追跡証拠」を使用して悪用可能性を判断する必要があります。キーワード推測のみに頼ってはいけません。
• 省略を禁止します。いかなるプレースホルダーも省略してはなりません。完全な脆弱性証拠チェーンと修正提案を出力する必要があります。

分類と番号付け

• 詳細については、shared/SEVERITY_RATING.md を参照してください。
• 脆弱性番号：{C/H/M/L}-SQL-{連番}

入力依存

少なくとも以下のものがあることを推奨します（shared/IO_PATH_CONVENTION.md と一致します。パイプラインをマージする際は、総レポートの同等の章を読み込むだけで構いません）：

• routes_{timestamp}.md（独立して保存される場合は通常 route_mapping/routes_{timestamp}.md）
• params_{timestamp}.md（独立して保存される場合は通常 route_mapping/params_{timestamp}.md） オプションですが推奨：
• route_tracer/ の出力。パラメータの実際の使用状況を正確に判断するために使用します。

SQL シンクの識別（必須）

1. PDO / PDOStatement
   • 比較的危険：$pdo->query($sql) / $pdo->exec($sql)（$sql が連結/ユーザー入力を含む場合）
   • 形式チェック：$pdo->prepare($sql) は、$sql でプレースホルダーを使用し、その後の bindParam/bindValue または正しいパラメータ渡しがある場合にのみ安全です。
   • ORM/DB ラッパー：DB::select(DB::raw({value}))、Doctrine createQuery など
2. mysqli / mysqli_stmt
   • mysqli_query($conn, $sql) の連結は危険です。
   • mysqli_prepare は、prepare + bind が正しく行われた場合にのみ安全である可能性があります。
3. 典型的な危険な構築パターン（必須）
   • SQL 文字列と変数の連結：., sprintf, vsprintf, implode/join + SQL キーワード
   • 動的ソート：order by $x / ORDER BY ".$x."（一般的な高リスク）

tracer をトリガーする必要がある条件（必須）

いずれかの条件を満たす場合、php-route-tracer（または同等の追跡証拠）を呼び出す必要があります。

• パラメータが多層に渡されたり、JSON デコード後にフィールドが SQL に入る場合
• SQL 構築点が基底クラス/ユーティリティクラス/親関数にある場合
• 分岐条件（if/try/catch）が存在し、SQL の実行が不確実な場合

レポート出力

出力先：

{output_path}/vuln_audit/
└── sql_{timestamp}.md

脆弱性レポート項目テンプレート（必須）

### [{等級プレフィックス}-SQL-{連番}] {リスクタイトル}

| 項目 | 情報 |
|------|------|
| 深刻度 | {🔴/🟠/🟡/🔵} (CVSS {score}) |
| 到達可能性 (R) | {0-3} - {理由} |
| 影響範囲 (I) | {0-3} - {理由} |
| 悪用複雑度 (C) | {0-3} - {理由} |
| 悪用可能性 | ✅ 確認済み / ⚠️ 検証待ち / ❌ 悪用不可 / 🔍 環境依存 |
| 位置 | {file}:{line} ({Function/Class}) |

#### データフローチェーン（Source → Sink）
（ルートごとに一行ずつ記述：リクエストパラメータの読み取り -> 変数への代入/連結/変換 -> 分岐 -> SQL 実行点。省略禁止）

#### 悪用可能な前提条件
- 認証要件：{不要/ログイン必要/特定権限必要}
- 入力制御可能性：{完全に制御可能/条件付きで制御可能/制御不可}
- トリガー条件：{分岐/例外/環境依存}

#### 証拠引用（必須：php-route-tracer から）
SQL の疑わしい脆弱性ごとに、trace 出力の `## 9) Sink Evidence Type Checklist` の **SQL 行**に対応する証拠要点を個別に引用する必要があります（状態が検証待ちであっても、証拠引用は必須です）：
1. `EVID_SQL_EXEC_POINT`：SQL 実行関数/ステートメントの位置（trace の SQL 実行点証拠に対応）
2. `EVID_SQL_STRING_CONSTRUCTION`：SQL 文字列の構築/連結位置（trace の SQL 連結証拠に対応）
3. `EVID_SQL_USER_PARAM_TO_SQL_FRAGMENT`：ユーザー制御可能なパラメータから SQL フラグメントへのマッピング（trace の制御可能性マトリックスフィールド証拠に対応）

#### tracer 証拠欠落の処理（必須）
- 上記 1～3 のいずれかの重要な証拠要点が見つからない場合、その脆弱性の状態は `⚠️検証待ち` としかマークできず、直接 `✅悪用可能と確認済み` とすることはできません。

#### 検証 PoC（必須、実行可能なリクエスト）
```http
{HTTP Method} {完全なパスとクエリ/Body} HTTP/1.1
Host: {host}
{必要な Header/Session/JWT/Cookie}

{Payload}

修正提案

• 安全な記述の要点（PDO prepare + bind と、SQL フラグメントにユーザー入力を連結しないことの保証）を提示します。
• 同様の連結点をすべて特定するためのコード検索ステートメント（rg/grep スタイル）を提示します。

出力完全性チェック（必須）

• [ ] 少なくとも以下を出力します：リスク統計 + 各脆弱性の完全な項目
• [ ] いかなる省略プレースホルダーも出現しません。
• [ ] 各脆弱性には以下が含まれます：データフローチェーン、悪用可能な前提条件、実行可能な PoC、修正提案。