なぜセキュリティが必要？Webアプリの危険と対策

新人と先輩の会話形式で理解しよう

新人

「Webアプリって普通に作るだけじゃダメなんですか？セキュリティって必要ですか？」

先輩

「うん、実はWebアプリを作るうえでセキュリティはとても重要なんだ。悪意のある人に攻撃される可能性があるからね。」

新人

「どんな攻撃があるんですか？それにどうやって対策するんですか？」

先輩

「じゃあまずは、セキュリティって何かというところから話していこうか。」

1. セキュリティとは何か（Webアプリケーションにおける意味）

ここでいうセキュリティとは、Webアプリケーションを不正なアクセスや悪意ある攻撃から守るための仕組みや考え方のことです。「Webアプリセキュリティとは」というキーワードで調べると、さまざまな対策や脅威の情報が出てきます。

たとえば、ユーザーがログインするときの認証処理、他人の情報を見られないようにするアクセス制御、偽のリクエストをブロックする仕組みなどが、Webアプリにおけるセキュリティの基本になります。

Webアプリはインターネットを通じて世界中からアクセスされるため、誰がどんな目的でアクセスしてくるか分かりません。開発者としては、「正しいユーザーだけが正しい操作を行えるようにする」ための仕組みを組み込む必要があります。

Springを使ってWebアプリを開発する場合、「Spring Security」というセキュリティライブラリを使うことで、これらの保護機能を簡単に導入することができます。これは「Web セキュリティ入門」としてもよく紹介されている方法です。

2. セキュリティを軽視した場合のリスク（実際に起こり得る問題）

セキュリティを考えずにWebアプリを開発すると、さまざまなリスクにさらされます。たとえば、ログインしていないのに管理者ページにアクセスできてしまったり、他人の個人情報が表示されてしまうこともあります。

以下のような問題は、実際の開発現場でもよく起きており、初歩的な設定ミスによって大きな事故につながることがあります。

ログインしなくても重要な画面が見えてしまう
他のユーザーの注文履歴が勝手に見られる
フォームから不正なデータが送られても受け取ってしまう
悪意あるスクリプトがWebページに埋め込まれる（XSS）

こうした問題は、最初にしっかりとセキュリティ対策をしておくことで防ぐことができます。特に、Spring Securityを導入すれば、ログイン認証やアクセス制御、セッション管理などを自動的に行ってくれるため、未然に多くのトラブルを防ぐことが可能です。

たとえば、Spring Securityを有効にすると、ログインしていないユーザーがページにアクセスしようとした場合、自動的にログイン画面にリダイレクトされます。これだけでも「認証が必要なページを守る」という基本的なセキュリティ対策が実現できます。


@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .anyRequest().authenticated()
            .and()
            .formLogin(); // 自動でログイン画面を表示
    }
}

このように設定しておくだけで、認証されていないユーザーはログインを求められるようになります。逆に、これを忘れると、すべてのページが誰でも見られる状態になってしまいます。

また、セッションが無効になったあとに操作を続けようとすると、セッションタイムアウトエラーが発生することもありますが、これもSpring Securityで適切に管理できます。

セキュリティ対策を「後回し」にするのではなく、開発の最初から取り入れることで、安全で信頼されるWebアプリを構築することができます。

3. 実際にあるセキュリティの脅威（XSS、CSRF、セッションハイジャックなど）

Webアプリケーションが直面するセキュリティ上の脅威にはさまざまな種類があります。ここでは代表的な３つの攻撃手法を取り上げて解説します。

XSS（クロスサイトスクリプティング）とは、ユーザーが入力した内容をそのままHTMLとして出力することで、悪意のあるスクリプトが実行されてしまう脆弱性です。「XSSとは」というキーワードで検索されることも多く、初歩的なミスから発生しやすい問題の一つです。

たとえば、掲示板アプリに以下のようなコードがあったとします。


<p>投稿内容：[[${content}]]</p>

ここに次のようなスクリプトを含んだ文字列が投稿された場合、ブラウザ上でスクリプトが実行されてしまいます。


<script>alert('攻撃されました');</script>

これにより、ユーザーのクッキー情報が盗まれたり、不正なリクエストが送信されたりする危険性があります。

CSRF（クロスサイトリクエストフォージェリ）は、ログイン中のユーザーが意図しないリクエストを送らされる攻撃です。「CSRF対策 Spring」というワードで調べると、Spring Securityでの防止策が多く紹介されています。

攻撃者は、被害者がログイン中であることを悪用し、勝手にアカウント情報の変更や商品の注文などを行わせることが可能です。これはフォームやリンク経由で偽装されたリクエストを実行させることで発生します。

セッションハイジャックとは、正規のユーザーのセッションIDを盗み、本人になりすまして操作を行う攻撃です。「セッションハイジャック」は、特に公共のWi-Fiなどで通信が暗号化されていない場合に狙われやすい攻撃です。

たとえば、ユーザーのセッションIDをクッキーから取得し、そのIDを使ってログイン済み状態を再現することで、不正にログインされたような状態になります。

こうした攻撃への対策を講じることは、すべてのWebアプリ開発者にとって欠かせないスキルです。

4. Spring Securityが提供する基本的な保護機能（認証・認可・CSRF対策など）

Spring Securityは、これらの脅威に対して効果的な対策を提供するフレームワークです。ここでは、Spring Securityで提供される代表的な保護機能を紹介します。

1. 認証（Authentication）

Spring Securityでは、ユーザーのIDとパスワードをもとに、正しい利用者かどうかを判断する「認証」機能が基本として用意されています。これにより、誰でも勝手にアクセスできる状態を防ぐことができます。

以下は、メモリ上にユーザー情報を定義してログイン認証を行う設定例です。


@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth
        .inMemoryAuthentication()
        .withUser("user")
        .password("{noop}password")
        .roles("USER");
}

2. 認可（Authorization）

認証されたあと、ユーザーがどのページにアクセスできるかを制御するのが「認可」です。Spring Securityでは、ユーザーのロール（役割）に応じてページ単位で制限をかけることが可能です。


@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .anyRequest().authenticated()
        .and()
        .formLogin();
}

この例では、/admin配下のページはADMINロールを持つユーザーだけがアクセスできます。

3. CSRF対策（Cross-Site Request Forgery）

Spring Securityでは、CSRFトークンを自動で発行し、フォームに含めることで不正なリクエストを防ぎます。

たとえば、Thymeleafテンプレートでの記述例は以下の通りです。


<form th:action="@{/update}" method="post">
    <input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}" />
    <!-- フォームの入力項目 -->
    <button type="submit">送信</button>
</form>

このように、トークンが含まれていないリクエストは自動的に拒否されるため、CSRF対策として非常に有効です。

4. セッション管理

Spring Securityはセッション情報も自動的に管理してくれます。ログアウト時にはセッションを破棄し、一定時間操作がない場合はタイムアウトするような設定も可能です。

また、不正なセッションIDの再利用もブロックされるため、セッションハイジャックへの耐性も高まります。

このように、Spring Securityを活用することで、Webアプリケーションに必要な基本的なセキュリティ機能を簡単に実装することができます。特に初心者のうちは、難しいコードを書くことなく、正しい保護ができるようになる点が大きなメリットです。

5. 初心者が陥りやすいセキュリティの落とし穴（公開URLの設定ミスなど）

Spring Securityを導入したあとでも、設定ミスによってセキュリティが十分に機能しないことがあります。特に初心者がよく陥るのが、公開URLの設定ミスです。

たとえば、ログイン画面や会員登録画面などは誰でもアクセスできるようにする必要がありますが、これを適切に設定しないと、アプリケーション全体が認証必須となってしまいます。

また、その逆に、本来守るべき管理者用ページを「permitAll」で公開してしまい、誰でもアクセスできるようにしてしまう事例もあります。こうした設定ミスは、意図せずにアプリを危険な状態にしてしまうため注意が必要です。

以下は、典型的な設定ミスの例です。


// 誤った例：すべてのページを公開してしまっている
@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/**").permitAll() // これにより全URLが認証不要となる
        .and()
        .formLogin();
}

このような設定は、開発段階では便利に感じるかもしれませんが、本番環境では重大なセキュリティ事故につながります。

セキュリティを意識した正しい設定としては、認証が不要なページだけを限定して許可し、それ以外はすべて認証必須にする方法が推奨されます。


// 正しい例：必要なページだけ公開し、それ以外は認証必須
@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/login", "/signup", "/css/**").permitAll()
            .anyRequest().authenticated()
        .and()
        .formLogin();
}

このように設定することで、必要最低限のページだけを公開し、他のページはログインが必要となります。初心者のうちは、「permitAll 設定例」などで検索して参考にするのも良い方法です。

6. Spring Securityの設定で注意すべきポイント（CSRF設定、パス制限、permitAllの使い方など）

Spring Securityの設定には、いくつか注意すべきポイントがあります。特に、CSRF対策やURLパスの制限、permitAll()の使い方には細心の注意を払う必要があります。

CSRF 設定 Springというキーワードで検索すると、多くの情報が出てきますが、Spring Securityでは基本的にCSRF保護は有効になっています。しかし、API開発や開発中の一時的な動作確認で無効化するケースもあるため、不用意にCSRF保護をオフにしないことが大切です。


// CSRF保護を無効にしてしまう危険な例（推奨されない）
http
    .csrf().disable()
    .authorizeRequests()
    .anyRequest().authenticated();

このようにcsrf().disable()を設定すると、すべてのリクエストがCSRFトークンなしで通ってしまうため、セキュリティ的に非常に危険です。

開発中でやむを得ず無効化する場合でも、コメントで理由を明記し、本番環境では必ず有効に戻す習慣を持ちましょう。

また、パス制限の記述ミスも多く見られます。パスの指定が正しくないと、意図しないページが公開されたり、逆に本来表示されるべきページがブロックされたりするため、パスの指定は厳密に行う必要があります。


// ログインページと静的リソースを公開し、それ以外は制限する例
http
    .authorizeRequests()
        .antMatchers("/login", "/css/**", "/images/**").permitAll()
        .antMatchers("/admin/**").hasRole("ADMIN")
        .anyRequest().authenticated();

このようにantMatchers()を使ってURLごとのアクセス制限を丁寧に設定することで、安全なアプリケーションを構築することができます。

特に「permitAll」は便利な反面、使い方を誤ると重大なミスにつながります。認証不要にしたいURLだけを明示的に列挙し、それ以外はauthenticated()で守るという基本を忘れないようにしましょう。