【入門編】JavaScriptフレームワーク（React, Vue, Angular）のXSS防御機構 – アプリケーションセキュリティ & 安全な開発防御ガイド

こんにちは。セキュリティの最前線で泥臭いインシデント対応をしているエンジニアです。

今日は「XSS（クロスサイトスクリプティング）」という、Web開発の現場で最も身近でありながら、最も油断できない「泥棒の侵入経路」についてお話しします。

「自分はReactやVueを使っているから大丈夫」と思っていませんか？実は、そのフレームワークの便利な機能が、時には「鍵を開けっ放しにする」リスクにもなり得るんです。一緒に紐解いていきましょう。

—

XSSを身近な例で例えるなら、「あなたの家の郵便受けに、偽物の手紙を紛れ込ませる泥棒」です。

本来、郵便受け（Webサイトの入力フォームやURLのパラメータ）には、信頼できる人からの手紙（テキスト）しか入らないはずですよね。でも、もし泥棒が「あなたの家の鍵を盗むための魔法の呪文（悪意あるJavaScript）」を郵便受けにこっそり忍ばせたらどうなるでしょう？

あなたがその手紙を開いた瞬間、泥棒の呪文が発動し、家の合鍵（Cookieやログイン情報）が泥棒に送信されてしまう。これがXSSの正体です。

反射型： 泥棒が「このリンクをクリックして！」と罠を仕掛け、クリックした瞬間に被害が起きる（いわば、偽のチラシを配るタイプ）。
格納型： 掲示板のコメント欄など、サーバーに悪意あるコードを保存させ、ページを見る人全員を被害に遭わせる（いわば、共有の玄関に罠を仕掛けるタイプ）。
DOM型： サーバーを介さず、ブラウザの中で完結するタイプ。JavaScriptのミスで、自分の家の窓（ブラウザ）から勝手に泥棒が侵入するような状態です。

—

React、Vue、Angularといったモダンなフレームワークは、標準で「自動ロック機能（エスケープ処理）」を備えています。

例えば、Reactで { userInput } と書けば、たとえユーザーがと入力しても、フレームワークがこれを「ただの文字」として扱い、無害化して表示してくれます。これは、郵便受けに届いた不審な手紙を、玄関で「これはただの紙屑です」と自動的に判断して捨ててくれるようなものです。

しかし、ここで事件は起きます。

開発者が「どうしてもHTMLとして表示させたいんだ！」と、意図的に防犯システムを解除してしまう時です。

Reactの dangerouslySetInnerHTML、Vueの v-html。これらは、防犯システムの無効化スイッチです。

// 危険なコード例：絶対にやめましょう！
// ユーザーが入力した内容を、そのままHTMLとして描画する
function UserProfile({ bio }) {
// bioが “” だったら大変なことに！
return

;
}

このコードを書くことは、「泥棒さん、ここから入ってください」と玄関の鍵を開けて看板を出すようなものです。もしこれを使うなら、DOMPurifyのようなライブラリを使って、泥棒が持っている「凶器（危険なタグ）」を徹底的に取り除く処理が必須になります。

—

フレームワークの対策だけでは不安なとき、最後に頼りになるのが「家の壁を強化する」設定、CSP（Content Security Policy）です。

これはWebサーバーからブラウザに向けて「このサイトでは、許可していない場所から持ってきたスクリプトは絶対に実行しちゃダメだよ！」と指示を出す仕組みです。

HTTPレスポンスヘッダーに、以下のような設定を追加します。

サーバーの設定例（NginxやWebサーバーで設定）
「信頼できるスクリプト以外は一切実行させない」という強い防衛ライン
Content-Security-Policy: default-src ‘self’; script-src ‘self’;

これを設定しておけば、万が一コードのどこかに脆弱性が残っていても、ブラウザという「頑丈な門番」が泥棒の侵入をブロックしてくれます。

—

セキュリティ対策に「これで完璧！」という終わりはありません。泥棒も常に新しい手口を考えています。

でも、恐れる必要はありません。
1. フレームワークの標準機能（自動エスケープ）を信じること。
2. dangerouslySetInnerHTML 等の「危険な扉」には、必ず強力なフィルターを通すこと。
3. CSPでブラウザの防衛力を底上げしておくこと。

これらを意識するだけで、あなたの作るアプリケーションの安全性は格段に向上します。まずは、自分の書いたコードに「怪しい扉」がないか、一度チェックしてみることから始めてみませんか？

一歩ずつ、安全なWebの世界を作っていきましょう！応援しています。