API セキュリティ強化

目次

• 概要
• 使用するタイミング
• クイックスタート
• リファレンスガイド
• ベストプラクティス

概要

認証、認可、レート制限、入力検証、攻撃防止を含む包括的な API セキュリティ対策を実装して、一般的な脆弱性から保護します。

使用するタイミング

• 新規 API 開発
• セキュリティ監査への対応
• 本番環境 API の強化
• コンプライアンス要件への対応
• 高トラフィック API の保護
• パブリック API の公開

クイックスタート

最小限の動作例:

// secure-api.js - Comprehensive API security
const express = require("express");
const helmet = require("helmet");
const rateLimit = require("express-rate-limit");
const mongoSanitize = require("express-mongo-sanitize");
const xss = require("xss-clean");
const hpp = require("hpp");
const cors = require("cors");
const jwt = require("jsonwebtoken");
const validator = require("validator");

class SecureAPIServer {
  constructor() {
    this.app = express();
    this.setupSecurityMiddleware();
    this.setupRoutes();
  }

  setupSecurityMiddleware() {
    // 1. Helmet - Set security headers
    this.app.use(
      helmet({
        contentSecurityPolicy: {
          directives: {
            defaultSrc: ["'self'"],
// ... (see reference guides for full implementation)

リファレンスガイド

references/ ディレクトリの詳細な実装:

ベストプラクティス

✅ すべきこと

• 全ての場所で HTTPS を使用する
• レート制限を実装する
• すべての入力を検証する
• セキュリティヘッダーを使用する
• セキュリティイベントをログに記録する
• CORS を適切に実装する
• 強力な認証を使用する
• API をバージョン管理する

❌ してはいけないこと

• スタックトレースを公開する
• 詳細なエラーを返す
• ユーザー入力を信頼する
• API に HTTP を使用する
• 入力検証をスキップする
• レート制限を無視する