【実務・中級編】XSS攻撃の検知におけるWAFのシグネチャと正規表現の限界 – アプリケーションセキュリティ & 安全な開発防御ガイド

WAFは「魔法の盾」ではない：XSS検知の限界と、現場で本当にやるべき防衛戦略

エンジニアの諸君、現場で「WAFを入れてるからXSSは大丈夫」なんて言葉を耳にしたら、即座にそのプロジェクトの設計を見直したほうがいい。

誤解を恐れずに言おう。WAF（Web Application Firewall）は、あくまで「パッチを当てるまでの時間稼ぎ」あるいは「既知の攻撃を弾く防波堤」に過ぎない。 攻撃者は日々、君たちが設定した正規表現の「隙間」を縫うように進化しているんだ。今日は、なぜWAFのシグネチャが簡単に突破されるのか、そして我々がアプリケーション側で何を担保すべきか、現場の視点から紐解いていく。

—

1. なぜWAFは「難読化」に弱いのか

WAFの多くは、