「ブラウザが守ってくれる」は過去の話？XSS対策の最前線を紐解く
こんにちは！セキュリティの世界へようこそ。今日は、Webアプリ開発者が避けては通れない「XSS（クロスサイトスクリプティング）」という強敵についてお話しします。
「XSSって名前は聞くけれど、結局何をすればいいの？」という新人エンジニアの方も多いはず。今日は、かつてブラウザが自動でやってくれていた防御機能の「引退」と、私たちが今すぐ取るべき「本当の対策」について、身近な例えを交えてお話ししますね。
—
1. XSSとは？―「家の鍵」をすり替えられる泥棒の手口
まず、XSSをイメージしてみましょう。
あなたのWebサイトを「大切なお客様をお招きする『家』」だと想像してください。XSSとは、「お客様（ユーザー）が入力したはずのメモや手紙に、泥棒が『怪しい暗号』を書き加えて、勝手に家の中を荒らそうとする攻撃」のことです。
- 反射型（Reflected）: 玄関先で受け取った手紙に悪意あるコードを仕込み、すぐに被害者に渡して実行させる手口。
- 格納型（Stored）: 掲示板やプロフィール欄など、家の中にその悪意あるコードを「保存」させてしまい、次に訪れた全員を襲うタチの悪い手口。
- DOM型: 家の構造（HTMLの仕組み）をブラウザ側で直接書き換えさせ、気づかないうちに不正な動きをさせる手口。
これらを防ぐために、昔のブラウザには「XSS Auditor」や「XSS Filter」という「門番」が住んでいました。怪しい動きを検知すると、ブラウザが勝手に「これは危ない！」と止めてくれていたんです。
2. なぜ「ブラウザの門番」は引退したのか？
結論から言うと、「門番（XSS Auditorなど）は、今の賢い泥棒には騙されてしまうから」です。
昔の泥棒は単純でしたが、今の泥棒は「合法的な手紙の中に、絶妙に偽の命令を混ぜる」という高度な技術を使います。ブラウザが「これは攻撃か？それとも正当なプログラムか？」を判断しようとすると、逆に正常なサイトまで壊してしまうことが多発しました。
結果、Chromeなどの主要ブラウザは、「もうブラウザ側で判断するのは限界だ。開発者さん、あなた自身で『許可リスト』を作って管理してくれませんか？」という方針に転換しました。これが、現在のセキュリティのスタンダードである「CSP（Content Security Policy）」です。
3. 今すぐやるべき対策：CSPという「厳重な招待状」
CSPとは、一言で言えば「この家には、誰が、どこから持ってきたものなら入れていいか」を明確に決めたルールブックです。
Webサーバーからブラウザに対して、「うちのサイトは、〇〇以外の場所から読み込まれたスクリプトは絶対に実行しちゃダメだよ！」と指示を出す仕組みです。
実践：CSPヘッダーを設定してみよう
あなたのWebサイトのHTTPヘッダーに、以下のような設定を追加するだけで、セキュリティは劇的に向上します。
HTTPレスポンスヘッダーの設定例
Content-Security-Policy: default-src ‘self’; script-src ‘self’ https://trusted-cdn.com; object-src ‘none’;
この設定の意味を解説します：
default-src 'self'：基本的に、自分のサイト（ドメイン）にあるものだけを信頼するよ！script-src 'self' https://trusted-cdn.com：プログラム（JavaScript）は、自分のサイトか、信頼できる特定のCDNからしか読み込まないよ！object-src 'none'：プラグイン（Flashなど）は一切許可しない！
これを設定しておけば、万が一泥棒があなたのサイトに「怪しいスクリプト」を埋め込もうとしても、ブラウザが「おっと、この場所は許可リストにないぞ！」と遮断してくれるようになります。
4. 最後に：セキュリティは「二段構え」で考えよう
「CSPさえ入れれば完璧！」というわけではありません。一番大事なのは、泥棒を家に入れないための「入力値のバリデーション（チェック）」と、データを出力する際の「エスケープ処理」です。
1. 入力時: お客さんが持ってきた荷物に爆発物がないか検査する（バリデーション）。
2. 出力時: もし荷物に怪しい文字が含まれていても、ただの「ただの文字」として表示させる（HTMLエスケープ）。
3. 万が一の時: CSPで、そもそも怪しいプログラムが動かないように封じ込める（CSP）。
この「三段構え」こそが、世界最高峰のセキュリティ対策です。
最初は難しく感じるかもしれませんが、まずはCSPのヘッダーを「レポートのみ（Content-Security-Policy-Report-Only）」で試すところから始めてみてください。今のサイトがどんなスクリプトを読み込んでいるか、ブラウザが教えてくれるようになりますよ。
セキュリティは、一度に完成させようとせず、一歩ずつ強固にしていきましょう！何か分からないことがあれば、いつでも相談してくださいね。応援しています！
コメント