インジェクション攻撃からアプリを守れ！『express-validator』で玄関の鍵を二重にする方法
こんにちは。現場で泥臭くインシデントと戦い続けているエンジニアです。
今日は「インジェクション攻撃」という、Webの世界では最も古くからあり、かつ今もなお多くのサイトを陥落させている「泥棒」の手口についてお話しします。
「難しそう…」と思う必要はありません。あなたの家の玄関を想像してみてください。私たちがやろうとしていることは、非常にシンプルで、かつ誰にでもできる防犯対策です。一歩ずつ、一緒に見ていきましょう。
—
1. インジェクション攻撃って何？「泥棒の手口」を知ろう
インジェクション（Injection）とは、直訳すると「注入」です。Web開発において、これが何を意味するかというと、「本来ならデータが入るはずの場所に、悪意のある命令（コード）を忍び込ませること」を指します。
家の鍵に例えると…
例えば、あなたの家のポストに「回覧板」を入れるとします。本来は紙を入れるだけの場所ですよね。しかし、もしそこに「このポストを開けて、勝手に玄関の鍵を開けろ」という魔法の呪文が書かれた紙が入れられたらどうでしょう？
もしポストがその呪文をそのまま実行してしまったら、泥棒は鍵を開けずに家に入れてしまいます。これが「インジェクション攻撃」の正体です。
Webサイトでも同じです。「名前を入力してね」という欄に、悪意ある人がデータベースを破壊する命令（SQLという言語など）を書き込むと、サーバーがそれを「命令だ！」と勘違いして実行してしまうのです。これがSQLインジェクションやOSコマンドインジェクションと呼ばれる脅威です。
—
2. 玄関に「番人」を置こう：express-validatorの役割
この攻撃を防ぐための最強の武器が「入力バリデーション（検証）」です。
「郵便物以外は一切受け取らない」「特定のサイズや形式じゃないものは、すべて門前払いする」という厳しいルールを、玄関（Webアプリの入り口）に設けるのです。
Node.js（Express）で開発しているなら、express-validator というライブラリが非常に優秀な「番人」になってくれます。これを使えば、面倒なチェック処理をスッキリと実装できます。
—
3. 実践！express-validatorで鉄壁の門を作る
では、実際にコードを書いてみましょう。ユーザーから受け取った「メールアドレス」と「パスワード」が正しい形式かを確認する例です。
インストール
まずはターミナルでライブラリを入れます。
npm install express-validator
実装コード例
const express = require(‘express’);
const { body, validationResult } = require(‘express-validator’);
const app = express();
app.use(express.json());
// ユーザー登録のルート
app.post(‘/register’, [
// 1. バリデーションルールを定義する（門番のチェック項目）
body(‘email’).isEmail().withMessage(‘正しいメールアドレス形式を入力してください’),
body(‘password’).isLength({ min: 8 }).withMessage(‘パスワードは8文字以上必要です’)
], (req, res) => {
// 2. チェック結果を確認する
const errors = validationResult(req);
// もしルール違反があれば、ここで即座に追い返す！
if (!errors.isEmpty()) {
return res.status(400).json({ errors: errors.array() });
}
// ここまで来れば、安全なデータであると判断してOK
res.send(‘登録完了です！’);
});
app.listen(3000);
このコードの何がすごいの？
- isEmail(): メールアドレス以外の怪しい文字列（命令文など）が含まれていたら、即座に弾きます。
- isLength({ min: 8 }): 長さを制限することで、システムを混乱させるような長大な不正コードの混入を防ぎます。
- 門前払い:
validationResultでエラーを検知し、処理を中断させています。つまり、危険なデータがデータベースに届くことは絶対にありません。
—
4. 最後に：セキュリティは「疑うこと」から始まる
駆け出しの頃は「動けばいい」と思いがちですが、プロのエンジニアは「ユーザーが入力してくるデータは、すべて泥棒の可能性がある」と疑うことからスタートします。
express-validator を使えば、誰でも簡単にその「疑う」という工程をシステム化できます。最初は難しく感じるかもしれませんが、この「入り口でのチェック」を徹底するだけで、あなたのアプリの安全性は劇的に向上します。
まずは今日、あなたが作っているアプリの入力フォームに、この「門番」を一人置いてみてください。それが、ユーザーを守り、あなた自身を守る、最高の一歩になるはずです。
一緒に、安全で頼れるサービスを作っていきましょう！応援しています。
コメント