【実務・中級編】Sanitizationライブラリを用いたHTML入力の無害化 – アプリケーションセキュリティ & 安全な開発防御ガイド

現場の最前線で語る：HTML無害化の「泥沼」とDOMPurifyによる絶対防衛ライン

現場でコードをレビューしていると、いまだに「strip_tags を使えば安全」と信じ込んでいる設計に出くわすことがある。正直に言おう。それは、鍵の壊れた玄関に「入るな」と張り紙をしているようなものだ。

Webアプリケーションにおいて、ユーザー入力をHTMLとして許容するという行為は、火遊びに近い。だが、リッチテキストエディタなどが標準装備の現代において、それを禁止するのは現実的ではない。だからこそ、「何を許可するか」を厳格に定義するホワイトリスト方式の無害化が唯一の正解となる。

今日は、なぜ中途半端なサニタイズが命取りになるのか、そしてDOMPurifyを用いた「鉄壁の防御」をどう実装すべきか、実戦的な視点で叩き込む。

—

なぜ「ブラックリスト方式」では防げないのか？

多くのエンジニアが陥る罠が、「危険なタグを消す（ブラックリスト）」というアプローチだ。例えば、