Shadow DOMは「XSSの銀の弾丸」ではない。だが、使いこなせば最強の防壁になる
現場のエンジニア諸君、お疲れ様。今日もどこかのWebアプリが、不適切なエスケープ処理やDOM操作の甘さからSQLiやXSSを食らっているだろう。
特にXSS（クロスサイトスクリプティング）は、フレームワークがどれだけ進化した現代でも、「画面の一部分だけサードパーティのウィジェットを表示する」といった少し複雑な要件が入った瞬間に、脆弱性が顔を出す。
今日は、巷で「XSS対策の切り札」と囁かれるShadow DOMについて、その本質と、現場で本当に使える防御アーキテクチャを語る。教科書通りの解説ではない。攻撃者がどこを狙い、どうやってその防壁を突破しようとするか、その裏側まで踏み込むぞ。
—
Shadow DOMが「封じ込め」に効く理由
Shadow DOMの最大の特性は「カプセル化（Isolation）」だ。メインドキュメントのCSSやJSが、Shadow Rootの中に侵入できない（逆もまた然り）。
攻撃者の視点で言えば、DOMツリーを走査してdocument.cookieを盗もうとしても、Shadow DOMの境界線（Boundary）が立ちはだかれば、その内部に隠された要素にはアクセスできない。これが、特定のコンポーネント内での攻撃影響を限定させるメカニズムだ。
攻撃者が狙う「盲点」
ただし、勘違いするな。Shadow DOMは「XSSを無効化する魔法」ではない。 Shadow DOMの内部に
コメント