【テクニカル・上級編】JavaScriptのinnerHTMLとtextContentのセキュリティ特性比較 – アプリケーションセキュリティ & 安全な開発防御ガイド

DOMの深淵：innerHTMLが招く「境界の崩壊」とtextContentによる防御哲学

セキュリティアーキテクトとして数多のインシデントレスポンスに立ち会ってきたが、結局のところ、多くの脆弱性は「データと命令の境界」を曖昧にした瞬間に生まれる。Webブラウザという巨大なVM（仮想マシン）において、innerHTMLというプロパティは、まさにその境界を自ら破壊し、攻撃者に「実行権限」を献上するための最短ルートとなっている。

本稿では、単なる「サニタイズせよ」という教科書的な警告を超え、なぜinnerHTMLがメモリ上のDOMツリーを汚染し、それが現代のWebアプリケーションにおいてどのように「特権的コンテキスト」を乗っ取るのか、その本質を解剖する。

—

1. 境界線の逆転：innerHTMLはなぜ「悪魔の召喚」なのか

innerHTMLへの代入は、ブラウザのHTMLパーサーを再起動させる行為に等しい。単なる文字列を渡したつもりが、ブラウザはそれを「DOM構築のための命令」として再解釈する。

ここで発生する脆弱性は、単なるXSS（Cross-Site Scripting）にとどまらない。最新のフロントエンドフレームワークであっても、内部でdangerouslySetInnerHTML（React）やv-html（Vue）を不用意に使用すれば、DOMの挿入点において攻撃者が定義した