RailsでXSSを防ぐ完全ガイド｜ERB自動エスケープ・sanitize・Content Security Policy設定

1. XSSとは何か？Railsで対策が必要な理由

1. XSSとは何か？Railsで対策が必要な理由

XSS（クロスサイトスクリプティング）とは、Webページに悪意のあるプログラムを埋め込まれてしまう攻撃方法です。掲示板やコメント欄など、ユーザーが入力した内容を画面に表示する場面で起こりやすくなります。

例えば、名前を書く欄にJavaScriptを書き込まれ、それがそのまま表示されると、ページを見た人のブラウザで勝手に実行されてしまいます。Railsでは、こうした危険を防ぐためにXSS対策が標準機能として組み込まれています。

2. RailsとMVC構造におけるXSS対策の位置づけ

2. RailsとMVC構造におけるXSS対策の位置づけ

RailsはMVCという設計を採用しています。MVCとは、Model（データ）、View（画面）、Controller（制御）に役割を分ける考え方です。XSS対策の中心はView（ビュー）で行われます。

画面に表示する部分で安全対策を行うことで、データベースに危険な文字が保存されていても、ユーザーに見せる段階で無害化できます。Railsではこの思想が最初から取り入れられています。

3. ERBの自動エスケープでXSSを防ぐ仕組み

3. ERBの自動エスケープでXSSを防ぐ仕組み

Railsでよく使われるテンプレートエンジンがERBです。ERBでは、<%= %>を使って値を表示すると、自動的にHTMLエスケープが行われます。

HTMLエスケープとは、タグとして解釈される文字を、ただの文字として扱う変換処理です。

<p><%= @user.name %></p>

もし@user.nameにscriptタグが含まれていても、画面上ではただの文字として表示され、プログラムは実行されません。これがRailsの自動エスケープ機能です。

4. rawやhtml_safeを使うときの危険性

4. rawやhtml_safeを使うときの危険性

Railsにはrawやhtml_safeというメソッドがあります。これらは「エスケープしないで表示する」という意味です。

<p><%= raw @message %></p>

便利に見えますが、ユーザー入力をそのまま表示するとXSSの原因になります。初心者のうちは、基本的に使わないと覚えておくと安全です。

5. sanitizeで安全なHTMLだけを許可する

5. sanitizeで安全なHTMLだけを許可する

どうしてもHTMLを含んだ文章を表示したい場合があります。そのときに使うのがsanitizeです。sanitizeは、危険なタグを削除し、安全なタグだけを残します。

<%= sanitize @comment %>

例えば、<script>タグは消されますが、<b>などの装飾用タグは残せます。これにより、XSSを防ぎながら表現の自由を保てます。

6. Content Security Policy（CSP）とは何か

6. Content Security Policy（CSP）とは何か

Content Security Policy（コンテンツセキュリティポリシー）は、ブラウザに対して「どこからのスクリプトを実行してよいか」を指示する仕組みです。

Railsでは、CSPを設定することで、仮にXSSが混入してもスクリプトの実行自体を防止できます。これは二重の安全対策になります。

7. RailsでContent Security Policyを設定する方法

7. RailsでContent Security Policyを設定する方法

Railsでは、config/initializers/content_security_policy.rbでCSPを設定します。

Rails.application.config.content_security_policy do |policy|
  policy.default_src :self
  policy.script_src  :self
end

これにより、自分のサイト以外から読み込まれたスクリプトは実行されなくなります。初心者でも比較的安全に使える設定です。

8. XSS対策とStrong Parametersの関係

8. XSS対策とStrong Parametersの関係

Strong Parametersは、コントローラで受け取るパラメータを制限する仕組みです。これは主に不正なデータの保存防止に役立ちます。

params.require(:user).permit(:name, :email)

XSSはビューで防ぎ、Strong Parametersはコントローラで守る。このようにRailsでは役割分担しながらセキュリティを高めています。