玄関の鍵を自分で外してはいけない：テンプレートエンジンの「自動エスケープ」が守るあなたのサイト
こんにちは。現場でセキュリティの最前線に立っているエンジニアです。
今日は、Web開発の現場で避けては通れない「XSS（クロスサイトスクリプティング）」と、それを防ぐための「テンプレートエンジンの自動エスケープ」についてお話しします。
「セキュリティ」と聞くと難しく感じるかもしれませんが、「Webアプリはあなたの家、ブラウザは玄関」だと考えてみてください。今日は、その玄関の鍵をなぜ開けてはいけないのか、一緒に紐解いていきましょう。
—
1. XSS（クロスサイトスクリプティング）ってどんな泥棒？
XSSとは、「あなたのWebサイトの隙間を利用して、訪問者のブラウザで悪意ある命令（スクリプト）を実行させる攻撃」のことです。
泥棒の例えで言うと、あなたの家の郵便受け（入力フォームなど）に、「この紙（スクリプト）を読んで！」と書かれたチラシを放り込むようなものです。訪問者が何も知らずにそのチラシを開くと、家の中（ブラウザ）にある大切な情報（クッキーや個人情報）が盗まれてしまう……これがXSSの恐ろしさです。
- 反射型: 玄関先でチラシを読ませる（検索結果ページなど）。
- 格納型: 掲示板にチラシを貼っておき、誰かが来るのを待つ（掲示板やプロフィール欄など）。
- DOM型: 玄関のドアノブの仕組みを書き換えて、勝手に別のドアへ誘導する。
—
2. 「自動エスケープ」という最強のドアガード
最近のモダンなテンプレートエンジン（Jinja2, EJS, Thymeleafなど）は、とても優秀です。彼らは「玄関から入ってくるものは、すべて泥棒かもしれない」という疑いを持って、自動的に「エスケープ」という処理をしてくれます。
エスケープとは、例えば入力された < や > という記号を、ブラウザが命令として実行できないように無害な文字列（< など）に変換することです。これによって、たとえ泥棒が「家を爆破せよ」という命令を持ってきても、ブラウザはそれをただの「文字」として表示するだけで、命令としては実行しなくなります。
実例：Jinja2での挙動
安全なコード（自動エスケープが有効）
ユーザー入力:
出力結果:
これならブラウザは何も実行せず、ただ文字を表示するだけです！
これだけで、ほとんどのXSS攻撃は防げます。まさに、最強のセキュリティガードマンが玄関に立っている状態です。
---
3. 絶対にやってはいけない「鍵の解除（rawフィルタ）」
しかし、開発現場では時々「どうしてもHTMLタグをそのまま表示したい！」という場面に遭遇します。例えば、リッチテキストエディタで作ったブログ記事を表示する場合などです。
ここで、テンプレートエンジンには「raw（または unescape）」といった、自動エスケープを無効化する魔法のコマンドが用意されています。
ここが最大の盲点です。
{{ user_comment | raw }}
これを使ってしまうと、ガードマンは「あ、このお客さんは顔見知りだからチェックなしで通そう」と、鍵を開け放してしまいます。もし入力値に悪意あるスクリプトが混じっていたら、あなたのサイトは即座に突破されます。
アドバイス：
「raw」を使うのは、本当に、本当に信頼できるデータに対してだけです。外部のユーザーが入力できる場所に、安易にこの鍵を外す機能を使ってはいけません。
---
4. 万が一の時のために：CSP（コンテンツセキュリティポリシー）
テンプレートエンジンの対策だけでは不安、という方に一つだけ覚えて帰ってほしいのが「CSP（Content Security Policy）」です。
これは、ブラウザに対して「このサイトでは、外部から読み込んだスクリプトは絶対に実行しないでね」と指示を出す、「警備会社との契約」のようなものです。
HTTPレスポンスヘッダーに以下のように設定します。
信頼できるソースからのスクリプトしか実行しないという設定
Content-Security-Policy: default-src 'self'; script-src 'self';
これを入れておけば、万が一テンプレートエンジンでエスケープ漏れがあっても、ブラウザ側が「怪しいスクリプトは実行しない」と守ってくれます。
---
まとめ：安全な開発への第一歩
1. テンプレートエンジンの自動エスケープを信じる: 自分で何か工夫しようとせず、標準の機能をそのまま使いましょう。
2. raw や unescape は禁じ手: 本当に必要か、何度も考え直してください。
3. CSPを導入する: 二重の防御で、家をより堅牢にしましょう。
セキュリティは「一度やって終わり」の作業ではなく、日々の習慣です。まずは「入ってきたデータをそのまま信じない」という意識を持つことから始めてみてください。一歩ずつ、安全なWebの世界を作っていきましょう！
もし分からないことがあれば、いつでもまた聞きに来てくださいね。皆さんのコードが安全であるよう、応援しています！
コメント