【XSS】Webエンジニア必須！クロスサイトスクリプティング対策

■ 今日の用語解説 今日はWebセキュリティの基本中の基本、「クロスサイトスクリプティング (XSS)」について解説します。 ▼ クロスサイトスクリプティング (XSS) とは？ Webサイトの脆弱性を利用して、悪意のあるスクリプトを埋め込む攻撃手法です。 ・ユーザーのブラウザ上で不正な処理を実行させる ・CSSと区別するため「XSS」と略される ▼ なぜ危険なのか？（リスク） (1) セッションハイジャック（なりすまし） (2) 個人情報の漏洩 (3) 偽サイトへの誘導（フィッシング） ▼ 3つの主要なタイプ ・反射型XSS：悪意あるURLを踏ませて攻撃 ・格納型XSS：DBにスクリプトが保存され、閲覧者全員に影響 ・DOM-based XSS：ブラウザ上のJS処理の不備を突く ▼ エンジニアができる対策 ・出力時のエスケープ処理（サニタイズ）を徹底する ・WAF（Web Application Firewall）の導入 ・CSP（Content Security Policy）の設定 ・CookieへのHttpOnly属性の付与 フレームワークを使っているから安心、ではなく、仕組みを理解して実装することが大切です。 #セキュリティ #用語解説 #学習 #エンジニア #クロスサイトスクリプティング #XSS #Web開発 #脆弱性 --- stand.fmでは、この放送にいいね・コメント・レター送信ができます。 https://stand.fm/channels/5ec48451f654bbcab4d3f793