AngularのSanitizerサービス：あなたのアプリを「悪意あるコード」から守る賢い番犬！
皆さん、こんにちは！サイバーセキュリティの世界へようこそ。突然ですが、皆さんはご自宅の鍵、ちゃんとかけていますか？泥棒に入られたら大変なことになりますよね。実は、Webアプリケーションの世界でも、これと似たような「泥棒」、つまり悪意のある攻撃者から大切な情報を守るための仕組みがあるんです。
今回は、Angularという人気のWebアプリケーション開発フレームワークを使っている皆さんに、特に「インジェクション攻撃」と呼ばれる、あの手この手で不正なコードを送り込もうとする攻撃から、あなたのアプリを守ってくれる「Sanitizer（サニタイザー）」という賢い仕組みについて、分かりやすく解説していきたいと思います。
インジェクション攻撃って、一体何？～家の鍵をこじ開ける泥棒をイメージ～
まず、Sanitizerの話に入る前に、「インジェクション攻撃」がどんなものなのか、イメージを掴んでみましょう。
例えば、あなたが書いたWebサイトに、ユーザーがコメントを投稿できる機能があるとします。普通なら、ユーザーは「こんにちは！素敵なサイトですね！」といった、平和なコメントを書いてくれるはずですよね。
でも、もし悪意のある人が、そのコメント欄に「」なんていうコードを書き込んだらどうなるでしょう？
これは、ブラウザに「画面に『ハッキング成功！』と表示しろ！」という命令を送っているんです。もし、あなたのアプリがこのコードをそのまま受け入れて実行してしまったら、見た目は普通のコメントなのに、裏では恐ろしいことが起こるかもしれません。例えば、他のユーザーの個人情報が盗まれたり、勝手に別のサイトに飛ばされたり……。
これが、インジェクション攻撃の一種である「クロスサイトスクリプティング（XSS）」の基本的な考え方です。まるで、泥棒が家の「鍵穴」に針金を入れて無理やりドアを開けようとするようなものですね。
SQLインジェクションのように、データベースに不正な命令を送って情報を盗み出す攻撃もあれば、今回お話しするXSSのように、ブラウザ上で不正なコードを実行させる攻撃もあります。どちらも、ユーザーからの「入力」を、プログラムが「命令」として誤解してしまうことが原因で起こる、非常に厄介な攻撃なんです。
AngularのSanitizer：賢い番犬が「怪しいもの」をブロック！
さて、ここで登場するのが、Angularの「Sanitizer」サービスです。これは、皆さんのAngularアプリが、ユーザーからの入力などを扱う際に、悪意のあるコードが紛れ込んでいないかをチェックし、安全なものに「消毒」してくれる、いわば「賢い番犬」のような存在なんです。
Sanitizerって、どうやって働いているの？
Sanitizerの主な役割は、HTMLやJavaScriptなどのコードが、本来意図されていない形で実行されないようにすることです。
例えるなら、あなたが郵便屋さんから手紙を受け取るとき、封筒に不審な染みがあったり、変な匂いがしたりしたら、ちょっと警戒しますよね？ Sanitizerも、受け取った「データ」の中に、プログラムが危険な「命令」だと判断するような、怪しい部分がないかをチェックしてくれるんです。
Angularでは、デフォルトで多くの場面でSanitizerが自動的に働いています。例えば、ユーザーが入力したテキストをそのままHTMLとして表示しようとしたときに、タグや
コメント