セキュリティ設計の基礎

# 悪い設定（デフォルトで危険）
debug: true
cors_enabled: false
session_timeout: 0  # 無期限

# 良い設定（デフォルトで安全）
debug: false
cors_enabled: true
cors_allowed_origins: ["https://example.com"]
session_timeout: 1800  # 30 分

// 悪い例：キャッシュされた権限情報
if (user.isAdminCached) {
  return deleteResource(id);
}

// 良い例：毎回検証
if (await auth.checkPermission(user.id, 'delete', resource)) {
  return deleteResource(id);
}

// パスワードハッシュ化（Node.js 例）
const bcrypt = require('bcrypt');
const saltRounds = 12;

const hash = await bcrypt.hash(password, saltRounds);
const valid = await bcrypt.compare(password, hash);

-- ❌ SQL インジェクション脆弱
const query = `SELECT * FROM users WHERE id = ${userId}`;
-- userId = "1 OR 1=1" → 全ユーザーが漏洩

-- ✅ パラメータ化クエリ
const query = 'SELECT * FROM users WHERE id = ?';
db.execute(query, [userId]);

// ❌ 本番環境でデバッグ有効
app.use(express.debug());

// ❌ 詳細なエラーメッセージ
app.use((err, req, res, next) => {
  res.status(500).send({
    error: err.message,
    stack: err.stack,  // スタックトレース漏洩
    query: req.query   // クエリパラメータ漏洩
  });
});

// ✅ 安全なエラーハンドリング
app.use((err, req, res, next) => {
  logger.error(err);  // ログには詳細
  res.status(500).send({
    error: 'Internal Server Error'  // ユーザーには最小限
  });
});

# 依存関係の脆弱性チェック
npm audit
pip-audit
bundle-audit

# 自動化（CI に組み込み）
npm audit --audit-level=high

// セッション管理のベストプラクティス
app.use(session({
  secret: process.env.SESSION_SECRET,
  cookie: {
    secure: true,        // HTTPS のみ
    httpOnly: true,      // JavaScript からアクセス不可
    sameSite: 'strict',  // CSRF 対策
    maxAge: 1800000      // 30 分
  },
  resave: false,
  saveUninitialized: false
}));

# GitHub Actions の例
permissions:
  contents: read
  id-token: write  # OIDC 用

# デプロイ前に署名検証
- name: Verify artifact signature
  run: cosign verify --key cosign.pub ${{ github.sha }}

// 構造化ログの例
logger.warn({
  event: 'LOGIN_FAILED',
  userId: user.id,
  ip: req.ip,
  userAgent: req.get('user-agent'),
  attempts: failedAttempts,
  timestamp: new Date().toISOString()
});

// ❌ 脆弱なコード（ユーザー入力 URL にリクエスト）
app.get('/fetch', async (req, res) => {
  const url = req.query.url;
  const response = await fetch(url);  // 内部 IP にもアクセス可能
  res.send(response.body);
});

// ✅ 安全なコード
const ALLOWED_PROTOCOLS = ['https:'];
const BLOCKED_IPS = ['127.0.0.1', '10.', '192.168.', '172.16.'];

app.get('/fetch', async (req, res) => {
  const url = new URL(req.query.url);

  if (!ALLOWED_PROTOCOLS.includes(url.protocol)) {
    return res.status(400).send('Invalid protocol');
  }

  const ip = await dns.resolve(url.hostname);
  if (BLOCKED_IPS.some(blocked => ip.startsWith(blocked))) {
    return res.status(400).send('Access denied');
  }

  const response = await fetch(url);
  res.send(response.body);
});

// Express.js 例（helmet ミドルウェア）
const helmet = require('helmet');
app.use(helmet());

// 個別設定
app.use(helmet.contentSecurityPolicy({
  directives: {
    defaultSrc: ["'self'"],
    scriptSrc: ["'self'"],
    styleSrc: ["'self'", "'unsafe-inline'"]
  }
}));

// JWT 発行・検証例
const jwt = require('jsonwebtoken');

// 発行
const token = jwt.sign(
  { userId: user.id, role: user.role },
  process.env.JWT_SECRET,
  { expiresIn: '1h', issuer: 'example.com' }
);

// 検証
const decoded = jwt.verify(token, process.env.JWT_SECRET, {
  issuer: 'example.com'
});

const { z } = require('zod');

// スキーマ定義
const CreateUserSchema = z.object({
  email: z.string().email(),
  password: z.string().min(8).regex(/(?=.*[a-z])(?=.*[A-Z])(?=.*\d)/),
  name: z.string().min(1).max(50),
  age: z.number().int().min(0).max(150)
});

// 検証
try {
  const userData = CreateUserSchema.parse(req.body);
  // 安全に処理
} catch (error) {
  res.status(400).json({ error: 'Invalid input' });
}