XSS Prevention

Table of Contents

• Overview
• When to Use
• Quick Start
• Reference Guides
• Best Practices

Overview

入力サニタイズ、出力エンコーディング、CSP ヘッダー、セキュアコーディング実装を通じた包括的なクロスサイトスクリプティング (XSS) 対策を実装します。

When to Use

• ユーザー生成コンテンツの表示
• リッチテキストエディタ
• コメントシステム
• 検索機能
• 動的 HTML 生成
• テンプレートレンダリング

Quick Start

最小限の動作例:

// xss-prevention.js
const createDOMPurify = require("dompurify");
const { JSDOM } = require("jsdom");
const he = require("he");

const window = new JSDOM("").window;
const DOMPurify = createDOMPurify(window);

class XSSPrevention {
  /**
   * HTML Entity Encoding - Safest for text content
   */
  static encodeHTML(str) {
    return he.encode(str, {
      useNamedReferences: true,
      encodeEverything: false,
    });
  }

  /**
   * Sanitize HTML - For rich content
   */
  static sanitizeHTML(dirty) {
    const config = {
      ALLOWED_TAGS: [
// ... (see reference guides for full implementation)

Reference Guides

詳細な実装は references/ ディレクトリを参照してください:

Best Practices

✅ DO

• デフォルトで出力をエンコードする
• テンプレートエンジンを使用する
• CSP ヘッダーを実装する
• リッチコンテンツをサニタイズする
• URL を検証する
• HTTPOnly クッキーを使用する
• 定期的なセキュリティテストを実施する
• セキュアなフレームワークを使用する

❌ DON'T

• ユーザー入力を信頼する
• innerHTML を直接使用する
• 出力エンコーディングをスキップする
• インラインスクリプトを許可する
• eval() を使用する
• コンテキストを混在させる (HTML/JS)