【実務・中級編】コンテナのルートレスモード実行と権限分離 – アプリケーションセキュリティ & 安全な開発防御ガイド

アプリケーションセキュリティ & 安全な開発

X Facebook はてブ LINE Pinterest コピー

2026.10.01

検索結果: "; // 検索クエリを表示する前に、必ずhtmlspecialcharsでエスケープする // ENT_QUOTES: シングルクォートとダブルクォートの両方をエスケープする // 'UTF-8': 文字エンコーディングを指定 echo htmlspecialchars($search_query, ENT_QUOTES, 'UTF-8'); echo "

";

// ... 検索処理と結果の表示 ...
?>

Python (Flask/Jinja2) での実装例

from flask import Flask, request, escape, render_template_string

app = Flask(__name__)

@app.route('/search')
def search():
search_query = request.args.get('q', '')

# Jinja2テンプレートエンジンはデフォルトでエスケープ機能を持っている
# |e フィルターを使って明示的にエスケープすることを推奨
# エスケープしないとXSS脆弱性となる例
# template = "

検索結果: {{ query }}

"

# セキュアな例: |e フィルターでHTMLエスケープ
template = "

検索結果: {{ query|e }}

"

# または、Jinja2のautoescapeが有効であれば、明示的な|eは不要な場合も
# しかし、常に明示的にエスケープする習慣をつけるのがベストプラクティス
return render_template_string(template, query=search_query)

if __name__ == '__main__':
app.run(debug=True)

ポイント: Jinja2のようなモダンなテンプレートエンジンは、デフォルトでHTMLエスケープを有効にしていることが多いが、|eフィルターで明示的に指定することで、コードの意図が明確になり、万が一の自動エスケープ無効化時にも安全性が保たれる。

2. 格納型XSS（Stored XSS）：潜伏する爆弾

最も危険なXSSだ。攻撃者が注入したスクリプトがサーバー上のデータベースなどに保存され、そのデータが読み込まれるたびに、サイトを訪れる不特定多数のユーザーのブラウザで実行される。掲示板のコメント、プロフィール欄、メッセージ機能など、ユーザーが自由にデータを入力できる場所は全て標的になりうる。

攻撃のシナリオとPoC

掲示板のコメント欄を例にしよう。

1. 攻撃者がコメント投稿フォームに悪意あるスクリプトを仕込む。

いつもお世話になっております。

2. このコメントがデータベースに保存される。
3. 他のユーザーがその掲示板ページを閲覧すると、データベースから読み出されたスクリプトが実行され、被害が発生する。

防御の要点：入力時と出力時の二重防御、そしてCSP

格納型XSSは、入力時と出力時の両方で防御を徹底する必要がある。

1. 入力値検証（サニタイズ）:

• 許可するHTMLタグや属性を厳密に制限する（ホワイトリスト方式）。
• 不許可なタグやスクリプトを削除する。
• ただし、これは非常に難しく、セキュリティライブラリ（PHPのHTML Purifierなど）を使うのが現実的。自前での実装はほぼ不可能と考えた方がいい。
• 最も安全なのは、HTMLを一切許可しない（プレーンテキストのみを許可する）ことだ。

2. 出力エスケープ:

• 格納型であっても、表示する際は反射型と同様にhtmlspecialcharsなどの関数で必ずエスケープする。
• たとえ入力時にサニタイズしたとしても、完璧ではない可能性を考慮し、出力時のエスケープは絶対に行う。これが最後の砦となる。

PHPでのセキュアなコメント投稿・表示例

purify($raw_comment);

// しかし、最も安全で簡単なのは、HTMLタグを一切許可せず、プレーンテキストとして扱うことだ。
// PHPのstrip_tags関数は不完全な場合があるので、基本的には出力エスケープをメインにする。
// ここでは、一旦入力されたものをそのまま保存し、出力時にエスケープする方針を採る。
$comment_to_store = $raw_comment; // あえてここではサニタイズせず、出力で防御する

// DBに保存する処理
// $stmt = $pdo->prepare("INSERT INTO comments (comment_text) VALUES (?)");
// $stmt->execute([$comment_to_store]);
echo "

コメントを保存しました。

";
}

// コメント表示処理
// $comments = $pdo->query("SELECT comment_text FROM comments ORDER BY id DESC")->fetchAll();
$stored_comments = [
"",
"普通のコメントです。",
"HTMLタグはエスケープされるべき。"
];

echo "

コメント一覧

";
foreach ($stored_comments as $comment) {
echo "

";
}
?>

3. Content Security Policy (CSP)
これは、XSS攻撃が成功した場合でも、外部スクリプトの読み込みやインラインスクリプトの実行を制限することで、被害を大幅に軽減する多層防御の強力な一手だ。HTTPレスポンスヘッダで指定する。

NginxでのCSP設定例

server {
listen 80;
server_name example.com;

add_header Content-Security-Policy "
default-src 'self'; # 全てのリソースは同じオリジンからのみ許可
script-src 'self' https://cdn.example.com; # スクリプトは同じオリジンと指定のCDNからのみ許可
object-src 'none'; #