入力検証セキュリティ

入力検証セキュリティ

概要

型安全な検証とコンテキスト対応エンコーディングを通じて、インジェクション攻撃を防止する 多層防御型の入力検証スキル。

主な機能:

• Zodによる型安全な検証
• コンテキスト対応の出力エンコーディング
• 許可リストベースのフィルタリング
• ファイルアップロードセキュリティ
• SQL/​XSS/コマンドインジェクション防止

ワークフロー

Phase 1: 入力分析

目的: すべての入力ベクターをマッピングし、リスクを評価

アクション:

1. Task呼び出し: agents/​analyze-inputs.md
2. 参照: references/​basics.md
3. 各入力のリスクレベルを分類

成果物: リスク分類付き入力インベントリ

Phase 2: 検証設計

目的: 型安全な検証スキーマを設計

アクション:

1. Task呼び出し: agents/​design-validation.md
2. 参照: references/​patterns.md
3. 許可リストと検証ルールを定義

成果物: 検証スキーマ仕様

Phase 3: 実装

目的: 検証コードを実装

アクション:

1. Task呼び出し: agents/​implement-validation.md
2. テンプレート使用: assets/​validation-schema.template.ts
3. エンコーディング適用: assets/​encoding-helpers.ts

成果物: 本番用検証コード

Phase 4: セキュリティテスト

目的: 攻撃に対する防御を検証

アクション:

1. 実行: node scripts/​validate-inputs.mjs --target <path>
2. Task呼び出し: agents/​security-test.md
3. 参照: references/​xss-prevention.md, references/​sql-injection-prevention.md

成果物: セキュリティテストレポート

Task仕様ナビ

ベストプラクティス

すべきこと

• 信頼境界で検証する
• セキュアに失敗する（検証失敗時は拒否）
• ブロックリストより許可リストを使用
• 型検証を最初に行う
• 出力コンテキストに応じてエンコード
• 入力長を制限
• 検証失敗をログ記録

避けるべきこと

• クライアント側のみの検証に依存
• ブロックリストフィルタリングの使用
• SQL/コマンドの文字列連結
• Referer/​Originヘッダーを信頼
• 部分的なエンコーディング
• 複雑な正規表現（ReDoSリスク）
• 使用後に検証

リソース参照

参照資料

スクリプト

アセット

変更履歴