Webアプリを作るとき、
**「ちゃんと動く」**だけでは足りません。
**「安全に動く」**ことが、とても大切です。
特にJavaでWebアプリを作る人が、必ず知っておきたいのが
CSRF と XSS という代表的なセキュリティ問題です。
名前だけ聞くと、
「なんだか難しそう」
「セキュリティは後回しでいいのでは」
と思ってしまうかもしれません。
でも安心してください。
Javaは、正しい使い方さえ知っていれば、とても安全なアプリを作りやすい言語です。
この記事では、プログラミング初心者の方でも理解できるように、
CSRF と XSS を イメージ → 考え方 → 実装の方向性 の順で解説していきます。
そもそもCSRFとXSSって何が違うの？
まずは難しい言葉を使わずに、ざっくり理解しましょう。
CSRFとは何か
CSRFは、とても簡単に言うと、
「ログイン中のあなたになりすまして、勝手に操作される攻撃」
です。
たとえば、あなたがログインしたままの状態で、
別の怪しいページを開いたとします。
そのページの裏側で、
「パスワードを変更する」
「退会する」
「設定を変更する」
といったリクエストが、あなたのふりをして送られてしまう。
これがCSRFです。
ポイントは、
あなたは何もしていないのに、操作が実行されてしまう
という点です。
XSSとは何か
一方、XSSはこんな攻撃です。
「悪意のある文字が画面に表示されて、ブラウザで動いてしまう」
掲示板やコメント欄を想像してください。
そこに、
普通の文章ではなく、
プログラムとして動く文字
が書き込まれていたらどうでしょうか。
それを見た人のブラウザで、
勝手に画面を書き換えたり、
情報を盗んだりすることができます。
これがXSSです。
違いを一言で言うと
- CSRFは「操作を勝手に実行させる」
- XSSは「画面で悪さをする」
この違いを、まずは覚えておきましょう。
なぜJavaはセキュリティに強いのか
ここで、Javaの良いところをお話しします。
JavaのWeb開発では、多くの場合、
- フレームワークが安全な仕組みを用意している
- 危険な実装をしにくい設計になっている
- 正しい書き方をすれば、自然と対策できる
という特徴があります。
つまり、
知識さえあれば、Javaはとても堅牢なアプリを作れる
ということです。
逆に言うと、
仕組みを知らずに使うと、簡単に穴が空いてしまう
のも事実です。
ここからは、その「正しい考え方」を見ていきましょう。
Javaで行うCSRF対策の考え方
CSRF対策の結論
CSRF対策は、とてもシンプルです。
「合言葉を確認する」
これだけです。
CSRFトークンという考え方
CSRF対策では、
CSRFトークン という特別な文字列を使います。
これは、
- 画面を表示するときにサーバが用意する
- その画面から送られてきたかを確認するための印
のようなものです。
イメージとしては、
「この画面から来ましたよ」という合言葉
だと思ってください。
フォーム送信の場合
画面に入力フォームがある場合、
その中に、見えない形でトークンを入れておきます。
ユーザが送信すると、
- 入力内容
- CSRFトークン
が一緒にサーバへ送られます。
サーバ側では、
- 正しいトークンかどうか
をチェックします。
一致しなければ、
「不正な操作です」
として処理を止めます。
Javaのフレームワークを使うメリット
Javaの有名なフレームワークでは、
このCSRFトークンの仕組みが、最初から用意されています。
だからこそ大切なのは、
- 勝手に無効にしない
- 仕組みを理解して正しく使う
この二点です。
「動かないから、とりあえず切る」
これは、とても危険な行為です。
画面を使わない場合の考え方
最近は、
ボタンを押したときに裏側で通信する仕組みも多いですよね。
その場合も考え方は同じです。
- トークンをどこかに持たせる
- 通信するときに一緒に送る
- サーバで確認する
「場所が違うだけで、考え方は同じ」
これがポイントです。
CSRF対策でよくある失敗
初心者の方が、よくやってしまう失敗を紹介します。
- エラーが出るので対策を無効にする
- 一部の画面だけトークンが入っていない
- 設定の意味を理解せずにコピペする
CSRF対策は、
「仕組みを理解しているかどうか」
で安全性が大きく変わります。
Javaは、その仕組みを学ぶのにとても向いている言語です。
Javaで行うXSS対策の考え方
次はXSSです。
こちらはCSRFよりも、
考え方がとても重要になります。
XSS対策の結論
結論から言います。
「画面に出すときに、正しく変換する」
これが、XSS対策の基本です。
なぜ入力チェックだけでは足りないのか
「危ない文字を入力させなければいいのでは」
と思うかもしれません。
でも実際には、
- すべての危険な文字を把握するのは難しい
- 将来、表示場所が変わるかもしれない
- 入力経路は一つとは限らない
という問題があります。
だからJavaの世界では、
「入力は信用しない」
「出力するときに守る」
という考え方をします。
出力エスケープという考え方
画面に文字を表示するとき、
特別な意味を持つ記号を、
ただの文字として扱うように変換します。
これを、
エスケープ
と呼びます。
Javaのテンプレート技術では、
このエスケープを自動でやってくれるものが多いです。
つまり、
- 正しい書き方をすれば
- 自然とXSS対策になる
これがJavaの強みです。
危険な書き方の例
XSSが起きやすいのは、
文字を手作業で組み立てる 場面です。
たとえば、
- HTMLを文字列として作る
- 入力値をそのまま連結する
こうしたコードは、
とても事故が起きやすいです。
安全な方向性
JavaでXSSを防ぐための基本は次の通りです。
- 画面表示はテンプレートに任せる
- 自動エスケープを信頼する
- どうしても文字列を加工するなら、専用の仕組みを使う
「自分で何とかしようとしない」
これが、Java流の安全な考え方です。
入力チェックは意味がないのか
いいえ、そんなことはありません。
入力チェックは、
- 変なデータを防ぐ
- アプリの品質を保つ
という点で、とても大切です。
ただし、
XSS対策の主役ではない
ということを覚えておきましょう。
役割を分けて考えることが、
安全な設計につながります。
現場で役立つチェック視点
実際の開発現場では、
次のような視点を持つと役立ちます。
- 状態を変える処理にCSRF対策は入っているか
- 画面に出す値は、必ず安全な経路か
- 文字列を直接組み立てていないか
Javaのコードは、
レビューしやすい
という点も大きな強みです。
まとめ
最後に、もう一度整理しましょう。
- CSRFは「合言葉を確認する」
- XSSは「画面に出すときに守る」
- Javaは、正しい使い方をすれば安全になりやすい
セキュリティは、
特別な人だけの知識ではありません。
「正しい考え方を知っているか」
それだけで、大きな差が生まれます。
絶対にJavaプログラマーになりたい人へ
もしあなたが、
- Javaを本気で仕事にしたい
- 安全なコードを書けるエンジニアになりたい
- 表面的ではなく、本質から学びたい
そう思っているなら、
まずは自己学習をしっかり行いましょう。
おすすめなのが、
絶対にJavaプログラマーになりたい人へ。
https://amzn.asia/d/3E1CYbv
基礎から考え方まで、
Javaエンジニアとして大切な視点が学べます。
それでも、
- 自分のコードが正しいか不安
- レビューしてほしい
- 転職まで含めて相談したい
そう感じた方は、
サイゼントアカデミー
https://academy.cyzennt.co.jp
を検討してみてください。
Javaを軸に、
現場で通用する力を身につけたい人にとって、
とても心強い環境です。
セキュリティを理解しているJavaエンジニアは、
これからの時代、ますます価値が高まります。
一歩ずつ、確実に進んでいきましょう。
コメント