出力エンコーディング

出力エンコーディングとは、データを出力する際にそのコンテキスト（HTML・JavaScript・URL・CSS等）に応じた適切なエスケープ処理を行い、インジェクション攻撃を防ぐ技術である。XSS（Cross-Site Scripting）はブラウザ上で悪意あるスクリプトを実行させる攻撃であり、Reflected XSS（URLパラメータの即時反射）・Stored XSS（DBに保存されたデータの反射）・DOM-based XSS（JavaScriptがDOMを操作する際に発生）の3種類に分類される。

コンテキスト別エンコーディングが重要なのは、同じ文字列でもHTML本文・HTML属性・JavaScriptコード・URLパラメータ・CSSの中では異なる文法で解釈されるためである。HTML本文では<を<にエスケープするが、JavaScriptコンテキストでは\u003cにエンコードしなければ意味がない。HTMLエスケープのみを行い、JavaScriptコンテキストや属性コンテキストでの危険な文字を見落とすことがXSSの原因となる。ReactやVueなどのモダンフレームワークはデフォルトでHTMLエスケープを行うが、dangerouslySetInnerHTML（React）やv-html（Vue）は生のHTML挿入を強制するため、ユーザー入力を含むデータには使用してはならない。

CSP（Content Security Policy）は、ブラウザが実行・読み込みを許可するリソースのオリジンをHTTPヘッダーで制限するセキュリティ機構であり、エンコーディングミスが存在しても攻撃スクリプトの実行を阻止する多層防御として機能する。Trusted Types APIはDOM-based XSSを防ぐためのブラウザAPIであり、HTML文字列としてDOMに挿入できる値をTrustedType型に限定することで、任意の文字列のHTML挿入をコンパイル時に防止できる。

コードレビューで着目するポイント

ユーザー入力由来のデータをHTML出力する際に、フレームワークのエスケープ機能が有効になっているか
dangerouslySetInnerHTML / v-html / innerHTML にユーザー入力が流れていないか
URLパラメータにユーザー入力を含める際にencodeURIComponent()でエンコードされているか
JavaScriptコンテキストに動的データを埋め込む際にJSONシリアライズ（JSON.stringify()）が使われているか
テンプレートエンジンが自動エスケープを行うモードで使われているか（raw・safeフィルタが不用意に使われていないか）
CSPヘッダーが設定されており、unsafe-inlineやunsafe-evalが含まれていないか
<script>タグにサーバーサイドで動的な文字列を埋め込む実装がないか

典型的なアンチパターン

innerHTMLへのユーザー入力代入: element.innerHTML = userComment のようにコメント本文をそのままDOMに挿入する実装。<script>alert(1)</script>を含むコメントが投稿されるとStored XSSが発生する。textContentで代替するか、必要な場合はDOMPurifyでサニタイズすること。

テンプレートの自動エスケープ無効化: Jinja2やEJSで特定のフィールドを「HTMLを含むため」として| safe・<%- %>で生出力する実装。ユーザーが入力できるフィールドへの適用は、Stored XSSの直接的な原因となる。表示のためにHTMLを含める場合はDOMPurifyなどのサニタイザを通すこと。

unsafe-inlineを含むCSP: CSPを設定しているが、インラインスクリプトを許可するためにscript-src 'unsafe-inline'を含めている。インラインXSSペイロードの実行を許可してしまい、CSPの効果が大幅に低下する。ノンスベースCSPまたはハッシュベースCSPへの移行が推奨される。

参考リソース

OWASP XSS Prevention Cheat Sheet — コンテキスト別エンコーディングの包括的ガイド
DOMPurify (https://github.com/cure53/DOMPurify) — DOM-based XSS防止のためのHTMLサニタイザライブラリ
MDN: Content Security Policy — CSP設定の詳細なリファレンスドキュメント
Trusted Types API (https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/trusted-types) — DOM-based XSS防止のためのブラウザAPI
OWASP Java Encoder — Javaでのコンテキスト別エンコーディングライブラリ