Webアプリケーションを開発する際、セキュリティの知識は欠かせません。脆弱性を放置すると、個人情報の漏洩やサービスの停止といった深刻な被害につながります。この記事では、Webエンジニアが最低限知っておくべきセキュリティの基礎を解説します。
代表的な脆弱性と対策
XSS（クロスサイトスクリプティング）
ユーザーの入力がそのままHTMLに埋め込まれると、悪意のあるスクリプトが実行される可能性があります。
対策：
- ユーザー入力をHTMLに出力する際にエスケープ処理を行う
- Content Security Policy（CSP）を設定する
- ReactやVue.jsなどのフレームワークを使うと、デフォルトでエスケープされる
SQLインジェクション
ユーザー入力がSQL文に直接組み込まれることで、データベースを不正に操作される攻撃です。
対策：
- プリペアドステートメント（パラメータバインディング）を必ず使う
- ORMを使用する
- 入力値のバリデーションを行う
CSRF（クロスサイトリクエストフォージェリ）
ログイン中のユーザーを騙して、意図しないリクエストを送信させる攻撃です。
ネットワーク基礎入門も参考にしてください。
対策：
- CSRFトークンを使用する
- SameSite Cookie属性を設定する
- 重要な操作には再認証を求める
セキュリティの基本原則
最小権限の原則
プログラムやユーザーには、必要最小限の権限のみを付与します。データベースユーザーに全権限を与えるのではなく、読み取りだけが必要なら読み取り権限のみを設定します。
入力値を信用しない
クライアントから送られてくるデータは、すべて信頼できないものとして扱います。フロントエンドでバリデーションしていても、サーバーサイドでも必ず検証します。
HTTPS対応
通信の暗号化は必須です。Let's Encryptを使えば無料でSSL証明書を取得できます。
学習リソース
- OWASP Top 10 — Webアプリケーションの主要な脆弱性をまとめたリスト
- PortSwigger Web Security Academy — 実践的にセキュリティを学べる無料プラットフォーム
関連記事：データベース設計入門やAPI入門でバックエンドの知識を深めましょう。
まとめ
セキュリティはWebエンジニアにとって避けて通れない分野です。基本的な脆弱性と対策を理解した上で、Web開発技術マップを参考に体系的なスキルアップを目指しましょう。
