「自動エスケープ」は最強の玄関ドア！テンプレートインジェクションから身を守る基本の「き」
こんにちは。セキュリティの現場で、日々「どうすれば開発者が幸せになれるか」を考えているエンジニアです。
今日は、Web開発の現場で避けては通れない「テンプレートインジェクション」という少し怖い響きの攻撃と、それを防ぐための「自動エスケープ」という仕組みについてお話しします。
専門用語を聞いて身構える必要はありません。まずは、皆さんの身の回りにある「家」のセキュリティに例えて、ゆっくり紐解いていきましょう。
—
1. テンプレートインジェクションって何？（泥棒の侵入経路）
Webサイトを作るとき、Jinja2（Python）やEJS（Node.js）、Thymeleaf（Java）といった「テンプレートエンジン」を使うことは多いですよね。これは、ひな形にデータを流し込んでページを作る便利な道具です。
しかし、もし「玄関の鍵（エスケープ処理）」が壊れていたらどうなるでしょうか？
攻撃者は、本来「名前を表示する場所」に、「このサイトの管理権限を奪え！」というような、悪意のある命令（コード）をこっそり紛れ込ませて送り込んできます。これを「テンプレートインジェクション」と呼びます。
家で例えるなら、「荷物の受け取り口（フォーム）から、泥棒が自分の分身（悪意のあるコード）を送り込んで、家の中から鍵を開けさせる」ようなものです。
—
2. 「自動エスケープ」は最強の玄関ドア
現代のテンプレートエンジンの多くには、「自動エスケープ」という機能が備わっています。これは、送られてきたデータの中に「<」や「>」といった危険な記号が含まれていたら、それらを「ただの文字」として扱うように自動変換してくれる機能です。
例えば、誰かが という悪意ある文字を送ってきても、自動エスケープが効いていれば、画面上にはそのままの文字列が表示されるだけで、プログラムとして実行されることはありません。
「プログラムとして実行させない（ただの文字列にする）」こと。これが、インジェクション攻撃に対する最も強力な防御です。
—
3. 実践：自動エスケープを活用するコード例
では、実際にどのように使うのか、Jinja2を例に見てみましょう。基本的には「何も設定しなくても自動で守ってくれる」のが今のトレンドですが、意識しておくことが大切です。
Jinja2の環境設定例
from jinja2 import Environment, FileSystemLoader
基本的にはこれだけでOK。autoescape=True が「玄関の鍵」を閉める設定です
env = Environment(
loader=FileSystemLoader(‘templates’),
autoescape=True # これをTrueにしておけば、HTML特殊文字を自動で無害化します
)
テンプレート側（index.html）
{{ user_name }} と書くだけで、自動的にエスケープされます。
ユーザーが「
コメント