現場の諸君、お疲れ様。今日もどこかのサーバーで、脆弱性を突こうとする「招かれざる客」がログを汚しているはずだ。
アプリケーションセキュリティにおいて、XSS（クロスサイトスクリプティング）はもはや「古典」と言われるが、未だに被害が絶えない。なぜか？ それは、フレームワークの自動エスケープに甘え、「文脈」を理解せずにデータをレンダリングしているからだ。
だが、今日はその話の先へ行こう。XSSでセッションを奪い、その奪ったトークンを使ってAPIを叩きまくる「攻撃の連鎖」をどう止めるか。APIレートリミットの設計こそが、現代のWebアプリケーションにおける最後の砦だ。
—
1. XSSの盲点と「攻撃の連鎖」を防ぐ意識
XSSを単なる「アラートが出る脆弱性」と侮ってはいけない。攻撃者は、反射型（Reflected）でスクリプトを仕込み、格納型（Stored）で永続化させ、DOM型でセキュリティヘッダーをすり抜ける。これらはすべて、「クライアントサイドで信頼できないデータが実行される」という同じ根源を持つ。
もし君のAPIがレートリミットを実装していなければ、XSSで奪ったセッションを使って、バックエンドへ大量の検索リクエストやパスワード変更リクエストを送り放題だ。これを防ぐには、アプリケーションの境界線で「誰が、どのくらいの頻度で」叩いているかを厳密に制御する必要がある。
—
2. トークンバケットアルゴリズム：なぜ今、これなのか
固定ウィンドウカウンタ（1分間に何回まで）は、ウィンドウの切り替わり目で制限の倍の通信を許してしまう「境界の問題」がある。トークンバケットアルゴリズムは、バケット（バケツ）に一定速度でトークンを補充し、リクエストのたびに消費する仕組みだ。これにより、バースト的なアクセスを許容しつつ、長期的にはレートを制限できる。
分散環境（サーバーが複数台ある場合）では、メモリ上にカウンタを持つのは愚策だ。Redisを使い、アトミックな操作で制御するのが現場の鉄則である。
—
3. 実践：Redisを用いたレートリミット実装（Python/FastAPI）
PythonのRedisクライアントを使い、分散環境でも正しく機能するレートリミットの実装例だ。luaスクリプトを使うことで、読み取りと書き込みの競合（Race Condition）を完全に排除しているのがポイントだ。
import redis
import time
Redis接続設定
redis_client = redis.Redis(host=’localhost’, port=6379, db=0)
Luaスクリプト：アトミックに実行し、Race Conditionを防ぐ
LUA_SCRIPT = “””
local key = KEYS[1]
local limit = tonumber(ARGV[1])
local window = tonumber(ARGV[2])
local current = redis.call(“INCR”, key)
if current == 1 then
redis.call(“EXPIRE”, key, window)
end
return current
“””
def is_rate_limited(user_id: str, limit: int = 100, window: int = 60):
“””
ユーザーIDごとにレートリミットを判定する
limit: 期間内の許容数, window: 秒数
“””
key = f”rate_limit:{user_id}”
count = redis_client.eval(LUA_SCRIPT, 1, key, limit, window)
# 制限を超えたらTrueを返す
return count > limit
使用例：APIエンドポイント内
if is_rate_limited(“user_12345”):
raise Exception(“429 Too Many Requests: 落ち着いてくれ。リクエストが多すぎる。”)
—
4. インフラ層での防御：Nginxによる二段構え
アプリケーションに到達する前に、Nginxでフィルタリングをかけるのがプロの流儀だ。負荷分散とセキュリティの観点から、limit_req モジュールを必ず設定しておこう。
nginx.conf の http ブロックに記述
$binary_remote_addr をキーに、1秒あたり10リクエストを許可、バーストは20まで
limit_req_zone $binary_remote_addr zone=api_limit:10m rate=10r/s;
server {
location /api/ {
# 429エラーを返し、バースト分はキューに入れずに即座に拒否
limit_req zone=api_limit burst=20 nodelay;
proxy_pass http://backend_upstream;
}
}
—
現場のエンジニアへ送る「セキュリティの極意」
1. 「デフォルト」を疑え: フレームワークが提供するサニタイズはあくまで最低限だ。出力するデータの文脈（HTML属性内、JavaScript内、CSS内）に合わせて、エスケープのライブラリを使い分けろ。
2. ログを相関分析しろ: レートリミットで弾かれたログを放置するな。それは「攻撃者の予備調査」かもしれない。IPアドレスとユーザーエージェントを突き合わせ、異常なパターンが見えたら即座にブロックリストへ叩き込め。
3. 「信頼」はゼロベースで: 認証済みユーザーであっても、そのセッションが汚染されている可能性を常に考慮する。API設計には必ず「レートリミット」という防波堤を組み込むこと。
セキュリティとは、完璧な製品を導入することではない。「どこを突破されたら何が起きるか」を想像し、その被害を最小化する泥臭い設計の積み重ねだ。
諸君、コードを書くときは常に「このコードを悪用するならどうするか？」と自問自答してほしい。その視点こそが、君を一流のエンジニアに引き上げる唯一の道だ。健闘を祈る。
コメント