サニタイズ

Sanitize

security programming web beginner

入力されたデータから有害な文字やコードを取り除いたり、無害な文字列に変換したりする処理。

概要（サマリー）

サニタイズ（Sanitize）とは、英語で「消毒する」「無害化する」という意味であり、Webサイトの入力フォームなどにユーザーが入力したデータから、システムに害を及ぼすような特殊な文字やプログラムコードを取り除いたり、無害な文字列に変換したりする処理のことである。
「空港の手荷物検査」にたとえられる。乗客（ユーザーの入力）の中にハサミや危険物（悪意あるコード）が紛れ込んでいないかをチェックし、没収したり安全なケースに入れたり（エスケープ処理）してから飛行機（システム内部）に通すイメージだ。Webサイトがハッキングされるのを防ぐために不可欠なセキュリティ対策である。

詳細解説

サニタイズとは何か

インターネット上のWebサイトにある「お問い合わせフォーム」「掲示板の書き込み欄」「検索窓」などは、ユーザーから文字入力を受け取る窓口である。
通常は名前や住所などが入力されるが、悪意あるユーザーがそこに「コンピュータを誤作動させるプログラムコード」を入力することがある。もしプログラムがその入力をそのまま処理してしまうと、他のユーザーの個人情報を盗み出したり、Webサイトの見た目を勝手に書き換えたりする被害が発生する。
これを防ぐために、入力されたデータを安全な状態に処理し直すのがサニタイズである。

代表的なサニタイズ方法：HTMLエスケープ

最も一般的なサニタイズは、HTMLタグとして意味を持ってしまう特殊文字（< や > など）を、ただの「画面に表示される文字」に変換するエスケープ処理である。

以下は、JavaScriptで実装したサニタイズの簡単なコード例である。

// JavaScriptの例：HTMLエスケープによるサニタイズ関数
function sanitizeHTML(str) {
  return str.replace(/[&<>"']/g, function(match) {
    const escapeMap = {
      '&': '&amp;',
      '<': '&lt;',
      '>': '&gt;',
      '"': '&quot;',
      "'": '&#39;'
    };
    return escapeMap[match];
  });
}

// ユーザーからの悪意ある入力例（ページを開いた瞬間にウイルスサイトへ飛ばすJSコード）
const userInput = '<script>window.location="http://bad-site.com"</script>';

// そのまま表示するとブラウザがプログラムとして実行してしまい危険！
// console.log(userInput); 

// サニタイズして出力する
const safeInput = sanitizeHTML(userInput);
console.log(safeInput);
// 出力: &lt;script&gt;window.location=&quot;http://bad-site.com&quot;&lt;/script&gt;
// これにより、画面には「<script>...」と文字で表示されるだけで、プログラムは実行されないため安全になる。

なぜサニタイズが必要なのか

サニタイズを怠ると、Webアプリケーションに以下のような重大な脆弱性（セキュリティの弱点）が生じる。

クロスサイトスクリプティング（XSS）:
掲示板などの入力欄に悪意あるJavaScriptコードを書き込まれ、そのページを閲覧した他のユーザーのブラウザ上で勝手にプログラムが実行される被害。Cookieを盗まれてアカウントを乗っ取られる原因になる。
SQLインジェクション:
ログイン用の入力フォームなどにデータベース操作用の特別な文字（'など）を入力され、データベース内の個人情報やパスワードが盗まれたり、データがすべて削除されたりする被害。

バリデーション（バリデーション）との違い

サニタイズと非常によく混同されるのが、バリデーションである。

バリデーション（入力値検証）: 「入力されたデータが正しい形式かどうか」をチェックして、違っていたらエラーを返して拒否すること。（例：「メールアドレスに @ が含まれているか」を確認する）
サニタイズ（無害化）: 入力されたデータを受け入れた上で、内部の危険な箇所を安全な形に書き換える・取り除くこと。

両者は「両輪」として使われ、まずバリデーションで不正なデータを弾き、すり抜けたものや許容された形式のデータをサニタイズして安全に処理するのが基本である。

AIコーディングとの関係

AIコーディングでログイン機能やお問い合わせフォームなどのコードを生成させる際、サニタイズの処理が抜けているコードが提案されることがある。AIは「動くコード」を作ることを最優先し、セキュリティ対策を省略してしまう傾向があるからである。

安全なアプリを作るために、以下の点を人間が指示・確認する必要がある。

セキュリティ対策の明示的指示:
フォーム処理のコードをAIに書いてもらう時は、「XSS対策として出力時のHTMLエスケープを行い、SQLインジェクション対策としてプリペアドステートメントやプレースホルダを使った、セキュアなコードにしてください」と明確にプロンプトで指示する。
フレームワークの標準機能の活用:
現代の多くのWebフレームワーク（React, Vue, Laravel, Djangoなど）には、表示時に特殊文字を自動エスケープする機能が標準で備わっている。これは任意のHTMLを安全化するサニタイズとは別物である。AIがそれらの標準機能を正しく利用したコード（例：ReactのJSX内での変数展開など）を書いているか、危険なHTML挿入機能を不用意に使っていないかをチェックする。

よくある勘違い

データベースに保存するときにすべてサニタイズすべき？

かつては「入力された直後にすべてサニタイズして保存する」方法が主流だったが、現代では「出力する直前に、出力先に合わせた方法でサニタイズする」のが基本とされている。
なぜなら、HTML用のサニタイズ（エスケープ）を行ったデータをそのままデータベースに保存してしまうと、後からそのデータをPDFに出力したり、CSVファイルとして書き出したりする際に、< のような不要な文字が混ざって正しく表示されなくなってしまうからである。データは用途に応じた形式で保存し、データベースへ書き込むときはプリペアドステートメントやプレースホルダでSQL文として解釈されないようにする。そして、ブラウザの画面に表示する瞬間にはHTMLエスケープを行う、というように、出力先に合わせて安全化するのが正しい設計である。

サニタイズを行っていればセキュリティは万全？

サニタイズは水際対策の一つに過ぎない。セキュリティを保つには、OSやサーバーのアップデート、適切な権限管理、SQLインジェクションを防ぐための「プレースホルダ（静的プレースホルダ）」の利用など、複数の防御壁（多層防御）を組み合わせる必要がある。

サニタイズはフロントエンド（ブラウザ側のJavaScript）だけで行えば十分？

絶対に不十分である。
フロントエンド（ブラウザのJavaScript）でサニタイズやエスケープを行うことは手助けにはなるが、それだけを信頼してはいけない。なぜなら、フロントエンドのコードは悪意ある攻撃者によって簡単に改ざん・スキップされるからである。ブラウザの開発者ツールやcurlコマンドを使えば、フロントエンドを無視してサーバーに直接データを送信することができる。サーバー側では入力値の検証、権限チェック、保存時のSQL対策を行い、画面表示時にはフロントエンドやテンプレートエンジン側で出力先に合ったエスケープを行う、というように複数の層で守るべきである。

まとめ

サニタイズは、入力データから有害なプログラムコードを排除・無害化（エスケープ）する処理。
主にクロスサイトスクリプティング（XSS）などのWebサイトへの攻撃を防ぐために行う。
「形式をチェックして拒否する」のがバリデーションで、「中身を書き換えて安全にする」のがサニタイズ。
AIが生成したコードには、サニタイズなどのセキュリティ処理が抜けていないか必ず確認する。

情報ソース

より詳しくAIに聞いてみよう

Webフォームのセキュリティ対策として、JavaScriptで行う「サニタイズ」と、サーバー側（PHPやPythonなど）で行う「サニタイズ」の役割分担を教えてください。
SQLインジェクションを防ぐために、サニタイズではなく「プリペアドステートメント（プレースホルダ）」を使うべきなのはなぜですか？
フォームで入力されたマークダウン形式のテキスト（太字やリンクなど）を安全に表示するために、必要なサニタイズライブラリ（DOMPurifyなど）の使い方を教えてください。
フォームのバリデーションとサニタイズを実装する際、AIにセキュリティ脆弱性のない完璧なコードを出力させるためのプロンプト例を教えてください。
データのサニタイズを「入力時」に行う場合と「出力時」に行う場合の、設計上のメリット・デメリットについて詳しく解説してください。