OWASP Top 10とは？2025年版で学ぶWebセキュリティの基本

# 危険な例 URLのIDだけでアクセスできる
@app.route('/user/profile/<user_id>')
def show_profile(user_id):
    # 権限チェックがない！
    user = User.query.get(user_id)
    return render_template('profile.html', user=user)

# 攻撃者は /user/profile/1, /user/profile/2 と
# URLを変えるだけで全ユーザーの情報を見られる

# 安全な例 適切な権限チェック
@app.route('/user/profile/<user_id>')
@login_required  # ログイン必須
def show_profile(user_id):
    # リクエストされたユーザー情報を取得
    user = User.query.get_or_404(user_id)
    
    # 本人または管理者のみアクセス可能
    if current_user.id != user.id and not current_user.is_admin:
        abort(403)  # 権限なしエラー
    
    return render_template('profile.html', user=user)

# 権限チェック用のデコレーター
from functools import wraps

def require_admin(f):
    @wraps(f)
    def decorated_function(*args, **kwargs):
        if not current_user.is_admin:
            abort(403)
        return f(*args, **kwargs)
    return decorated_function

@app.route('/admin/dashboard')
@login_required
@require_admin
def admin_dashboard():
    return render_template('admin/dashboard.html')

# 危険な例 Flaskのデバッグモード
from flask import Flask

app = Flask(__name__)
app.debug = True  # 本番環境でこれは危険！

@app.route('/')
def index():
    return "Hello World"

if __name__ == '__main__':
    app.run(host='0.0.0.0')  # 全てのIPからアクセス可能

# 安全な例 環境に応じた設定
import os
from flask import Flask

app = Flask(__name__)

# 環境変数で設定を切り替える
app.config['DEBUG'] = os.getenv('FLASK_ENV') == 'development'
app.config['SECRET_KEY'] = os.getenv('SECRET_KEY')

@app.errorhandler(500)
def internal_error(error):
    # 本番環境では詳細を表示しない
    return "An error occurred", 500

if __name__ == '__main__':
    # 本番環境では適切なWebサーバー(Gunicorn等)を使用
    app.run()

@app.after_request
def set_security_headers(response):
    # ブラウザにHTTPSを強制
    response.headers['Strict-Transport-Security'] = 'max-age=31536000; includeSubDomains'
    
    # クリックジャッキング対策
    response.headers['X-Frame-Options'] = 'DENY'
    
    # XSS対策
    response.headers['X-Content-Type-Options'] = 'nosniff'
    
    # コンテンツセキュリティポリシー
    response.headers['Content-Security-Policy'] = "default-src 'self'"
    
    return response

# 危険な例 バージョンを指定しない
# requirements.txt
flask
requests
pillow
sqlalchemy

# 問題点 
# - 最新版が自動的にインストールされる
# - 互換性のない変更が入る可能性
# - 脆弱性があるバージョンがインストールされるリスク

# 安全な例 バージョンを明確に指定
# requirements.txt
flask==3.0.0
requests==2.31.0
pillow==10.1.0
sqlalchemy==2.0.23

# さらに安全 ハッシュ値も記録
# requirements.txt
flask==3.0.0 \
    --hash=sha256:1234567890abcdef...
requests==2.31.0 \
    --hash=sha256:abcdef1234567890...

# Python
pip freeze > requirements.txt

# Node.js
npm install  # package-lock.json が自動生成される

# Python: pip-audit を使用
pip install pip-audit
pip-audit

# Node.js: npm audit を使用
npm audit

# 自動修正
npm audit fix

# 未使用のパッケージを確認（Node.js）
npx depcheck

# 危険な例 パスワードを平文で保存
def register_user(username, password):
    user = User(
        username=username,
        password=password  # これは絶対にダメ！
    )
    db.session.add(user)
    db.session.commit()

# データベースには「password123」のように平文で保存される
# データベースが漏洩したら全ユーザーのパスワードが漏れる

# 安全な例 bcryptでハッシュ化
from flask_bcrypt import Bcrypt

bcrypt = Bcrypt(app)

def register_user(username, password):
    # パスワードをハッシュ化
    hashed_password = bcrypt.generate_password_hash(password).decode('utf-8')
    
    user = User(
        username=username,
        password=hashed_password  # ハッシュ化されたパスワードを保存
    )
    db.session.add(user)
    db.session.commit()

def login_user(username, password):
    user = User.query.filter_by(username=username).first()
    
    if user and bcrypt.check_password_hash(user.password, password):
        # パスワードが一致
        return True
    return False

# Flaskで本番環境でHTTPSを強制
from flask_talisman import Talisman

app = Flask(__name__)
Talisman(app, force_https=True)

from cryptography.fernet import Fernet

# 暗号化キー（環境変数で管理）
key = os.getenv('ENCRYPTION_KEY').encode()
cipher = Fernet(key)

def save_credit_card(card_number):
    # 暗号化して保存
    encrypted = cipher.encrypt(card_number.encode())
    return encrypted

def get_credit_card(encrypted_data):
    # 復号化して取得
    decrypted = cipher.decrypt(encrypted_data)
    return decrypted.decode()

# 危険な例 ユーザー入力を直接SQLに結合
@app.route('/login', methods=['POST'])
def login():
    username = request.form['username']
    password = request.form['password']
    
    # これは非常に危険！
    query = f"SELECT * FROM users WHERE username='{username}' AND password='{password}'"
    user = db.execute(query).fetchone()
    
    if user:
        return "Login successful"
    return "Login failed"

admin' --

SELECT * FROM users WHERE username='admin' --' AND password='xxx'

# 安全な例 プレースホルダを使用
@app.route('/login', methods=['POST'])
def login():
    username = request.form['username']
    password = request.form['password']
    
    # プレースホルダ（?）を使用
    query = "SELECT * FROM users WHERE username=? AND password=?"
    user = db.execute(query, (username, password)).fetchone()
    
    if user:
        return "Login successful"
    return "Login failed"

# SQLAlchemyなどのORMを使用
from flask_sqlalchemy import SQLAlchemy

db = SQLAlchemy(app)

class User(db.Model):
    id = db.Column(db.Integer, primary_key=True)
    username = db.Column(db.String(80), unique=True)
    password = db.Column(db.String(120))

@app.route('/login', methods=['POST'])
def login():
    username = request.form['username']
    password = request.form['password']
    
    # ORMが自動的に安全なクエリを生成
    user = User.query.filter_by(username=username).first()
    
    if user and check_password(user.password, password):
        return "Login successful"
    return "Login failed"

# 危険な例 ユーザー入力を直接コマンドに使用
import subprocess

@app.route('/ping')
def ping():
    host = request.args.get('host')
    # これは危険！
    result = subprocess.run(f'ping -c 4 {host}', shell=True, capture_output=True)
    return result.stdout

# 安全な例 入力を検証し、shellを使わない
import re

@app.route('/ping')
def ping():
    host = request.args.get('host')
    
    # ホスト名の検証（英数字とドット、ハイフンのみ）
    if not re.match(r'^[a-zA-Z0-9.-]+$', host):
        return "Invalid host", 400
    
    # shell=Falseで安全に実行
    result = subprocess.run(['ping', '-c', '4', host], capture_output=True)
    return result.stdout

# 悪い例
DATABASE_URL = "postgresql://user:password123@localhost/mydb"
API_KEY = "sk-1234567890abcdef"

# 良い例
import os

DATABASE_URL = os.getenv('DATABASE_URL')
API_KEY = os.getenv('API_KEY')

# .env
DATABASE_URL=postgresql://user:password123@localhost/mydb
API_KEY=sk-1234567890abcdef

# Python
pip freeze > requirements.txt

# Node.js
npm install  # package-lock.json を必ずコミット

# Python
pip-audit

# Node.js
npm audit

from flask import request, abort

@app.route('/user/<int:user_id>')
def get_user(user_id):
    # 数値以外は自動的に404になる（int型指定のおかげ）
    
    # さらに範囲をチェック
    if user_id < 1 or user_id > 1000000:
        abort(400, "Invalid user ID")
    
    user = User.query.get_or_404(user_id)
    return jsonify(user.to_dict())

@app.route('/search')
def search():
    query = request.args.get('q', '')
    
    # 長さをチェック
    if len(query) > 100:
        abort(400, "Query too long")
    
    # 特殊文字をチェック
    if any(char in query for char in ['<', '>', ';', '&']):
        abort(400, "Invalid characters")
    
    results = perform_search(query)
    return jsonify(results)