【テクニカル・上級編】テンプレートエンジンにおける自動エスケープ機能の活用 – アプリケーションセキュリティ & 安全な開発防御ガイド

テンプレートエンジンの「自動エスケープ」という名の甘美な罠

テンプレートエンジンは、現代のWebアプリケーション開発において「速度」と「生産性」という名の麻薬だ。Jinja2, EJS, Thymeleaf。これらは開発者にHTML生成の快楽をもたらすが、その裏側でセキュリティ・アーキテクトが最も恐れるのは、開発者が「便利さ」の代償として支払う「コンテキストの不一致」だ。

今日は、多くのエンジニアが「デフォルトで安全だから」と高を括っている、テンプレートエンジンの自動エスケープ機能の深層と、それが崩壊する瞬間について話そう。

1. コンテキスト不一致という「死角」

自動エスケープ機能は、基本的に「HTMLボディ」という特定の文脈を想定している。しかし、Webの脆弱性は常にその「想定外の文脈」で発生する。

例えば、Jinja2で動的にJavaScript変数を注入する場合を考えてみてほしい。

不適切な実装例: 安全だと思い込んでいるパターン
攻撃者が user_input に ‘”; alert(1); //’ を仕込んだら？
template = “”

この場合、Jinja2の自動エスケープは " を " に置換するが、