【実務・中級編】サニタイズライブラリ（DOMPurify等）の選定と設定 – アプリケーションセキュリティ & 安全な開発防御ガイド

XSSの「教科書」はもう捨てろ：現場で通用するDOMPurify防御の深層

「サニタイズしてますから大丈夫です」。
コードレビューでこの言葉を聞くたび、私は背筋が凍る思いがする。htmlspecialchars() を適当に使って「はい、XSS対策完了」と満足しているエンジニアが多すぎるからだ。

いいか、XSS（クロスサイトスクリプティング）は単なる「警告ダイアログが出る脆弱性」じゃない。セッションハイジャック、なりすましによる権限昇格、そしてバックエンドの管理画面を操作される「ビジネスロジック崩壊」の入り口だ。

今日は、現代のフロントエンド開発において「HTMLをレンダリングする」という危険な行為を、どうやって安全に完遂させるか。その実戦的な勘所を叩き込む。

—

1. なぜ「自作のサニタイズ」が死を招くのか

よくある失敗例が、正規表現で