「サニタイジングって何のこと？」「エスケープ処理と何が違うの？」——そんな疑問をお持ちではないでしょうか。サニタイジングとはWebアプリケーションへの入力データに含まれる有害なコードや文字を無害化する処理で、XSSやSQLインジェクション攻撃を防ぐための基本的なセキュリティ対策です。本記事では意味・エスケープ処理との違い・必要な理由・実施方法まで解説します。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

サニタイジングとは

サニタイジングの意味と語源

サニタイジング（Sanitizing）とは、Webアプリケーションやシステムに入力されたデータ（フォームの値・URLパラメータ・掲示板への書き込みなど）に含まれる有害な文字やコードを検知し、無害な状態に変換・削除する処理のことです。「修正プログラム」「アップデートプログラム」とも呼ばれます。

語源の英語「sanitize（サニタイズ）」は「消毒する・衛生的にする」という意味で、ソフトウェアの世界では「有害なデータを消毒して安全にする」というイメージです。

無害化の手段はいくつかあります。代表的なのが特殊な意味を持つ文字を別の表記に置き換えるエスケープ処理です。エスケープで対処が難しい場合は対象のプログラムを削除することもあります。

具体例でわかるサニタイジング

サニタイジングが何をしているのか、掲示板での具体例で説明します。

Webの世界では <br> という文字列は「改行」を意味する特別なHTMLタグです。もしサニタイジングを行っていない掲示板があった場合、悪意ある人が投稿欄に以下のように書き込んだとします。

テスト投稿です。<script>alert('攻撃成功');</script>

サニタイジングがなければ、この <script> タグがブラウザ上で実際に実行されてしまい、他のユーザーに被害が及ぶ可能性があります。

ここでサニタイジングを適用すると、< を <、> を > に置き換えます。するとブラウザは <script> を「コード」ではなく「単なる文字列」として扱うため、スクリプトは実行されず画面にそのまま文字として表示されます。この置き換え処理がサニタイジングの基本的な働きです。

エスケープ処理との違い

エスケープ処理とは

エスケープ処理とは、入力データに含まれる特殊文字やコードが実行されないよう、意味を持たない別の安全な文字列に変換する方法です。たとえばHTMLにおいて < や > をそのまま出力するとタグとして認識されてしまうため、それぞれ < や > に置き換えます。

サニタイジングとエスケープ処理の関係

混同されがちですが、両者には明確な違いがあります。

一言で言うと「エスケープ処理はサニタイジングの中に含まれる一手法」です。サニタイジングがより広い概念で、エスケープ処理はその具体的な実装方法の一つに位置づけられます。

バリデーションとの違い

サニタイジングとよく混同されるのが「バリデーション（入力値検証）」です。両者は目的が異なります。

バリデーションは入力値が正しい形式・範囲であるかを検証する処理で、不正な値の場合はエラーを返して処理を拒否します。「メールアドレス形式かどうか確認する」「数字のみの入力かチェックする」などが例として挙げられます。

サニタイジングは入力値の内容に関わらず、危険な可能性のある文字を無害化して処理を続行する点が違います。バリデーションとサニタイジングは対立するものではなく、両方を組み合わせることでより強固なセキュリティ対策を実現できます。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

サニタイジングが必要な理由

XSSの脆弱性が最多（IPAの最新統計）

情報処理推進機構（IPA）の活動報告によると、2024年10月〜12月にWebサイトで届出されたソフトウェアの脆弱性のうち、XSS（クロスサイトスクリプティング）が全体の57%と最も多く占めています。次いでSQLインジェクションが11%と上位に位置しており、Webアプリケーションにおける最重要の対策課題です。

この統計が示すとおり、Webアプリケーションへの不正入力を悪用した攻撃は非常に一般的であり、サニタイジングはこれらを防ぐための基本的かつ効果的な手段となっています。

SQLインジェクションへの対策

SQLインジェクションは、データベースとやり取りするWebアプリケーションの入力欄に不正なSQL文を挿入することで、データの不正取得・改ざん・削除を行う攻撃です。適切なサニタイジングを行わないと、ログイン情報や個人情報・クレジットカード情報が丸ごと流出するリスクがあります。

コンプライアンス要件への対応

サニタイジングはセキュリティリスクの低減だけでなく、コンプライアンスの観点でも重要です。個人情報を取り扱う事業者には個人情報保護法上の安全管理措置が求められており、クレジットカード情報を扱う場合はPCI DSSへの準拠が必要です。また欧州でのビジネスではGDPR（一般データ保護規則）に基づくデータ保護措置が義務づけられています。

サニタイジングを徹底することで、これらのコンプライアンス要件を満たしていることの技術的な証明にもなります。

サニタイジングを行わない場合のリスク

セッションハイジャックによる不正アクセス

セッションハイジャックとは、ユーザーがログイン中に利用しているセッションIDを盗み、正規ユーザーになりすましてシステムに不正アクセスする攻撃です。サニタイジングを行わないと不正なスクリプト（XSS）を介してセッションIDが窃取される危険があります。攻撃者は盗んだセッションを使って機密情報の閲覧・改ざん・不正操作などを行います。

個人情報の窃取

サニタイジングが不適切な場合、XSSやSQLインジェクションによってデータベースに保存されている個人情報が不正に閲覧・窃取されるリスクが生じます。ユーザーのログインID・パスワード・クレジットカード情報・住所などの流出につながり、企業は損害賠償・信用失墜・行政処分といった深刻な被害を受けることになります。

Webサイトの改ざんによる偽情報の表示

サニタイジングなしで不正な入力を受け入れると、攻撃者がWebサイトに悪意のあるスクリプトを埋め込み、表示内容を改ざんすることが可能になります。ユーザーが誤った情報を信用してしまうほか、企業・ブランドの信頼性が損なわれ、法的責任や金銭的損失につながる可能性があります。

強制的なページ遷移（フィッシングサイトへの誘導）

不正なスクリプトが仕込まれると、ユーザーを意図しないページへ強制的に遷移させることができます。フィッシングサイトや偽のログインページへ誘導してIDやパスワードを盗んだり、マルウェア感染サイトへ誘導してユーザーの端末を感染させたりといった被害が発生します。

サニタイジングで防げる主な攻撃

XSS（クロスサイトスクリプティング）

XSSとは、Webページに不正なスクリプトを埋め込み、そのページを閲覧した他のユーザーのブラウザ上でスクリプトを実行させる攻撃です。攻撃者は掲示板・コメント欄・検索フォームなどの入力欄にJavaScriptコードを仕込み、閲覧者のセッション情報窃取・偽サイトへの誘導・個人情報の盗取などを行います。

サニタイジングによって入力データ内の <script> タグや悪意あるJavaScriptを無害化することで、XSS攻撃を防ぐことができます。

SQLインジェクション

SQLインジェクションとは、データベースと連携したWebアプリケーションの入力フォームに、不正なSQL文を注入することでデータベースを不正操作する攻撃です。ログインフォームのIDやパスワード欄に特殊なSQL文を入力することで、認証を回避してデータベースの内容を丸ごと取得したり、データを改ざん・削除したりすることができます。

SQLに対するサニタイジング（プリペアドステートメント）を実装することで、入力値がSQL文の一部として解釈されることを防ぎます。

サニタイジングの実施方法

サニタイジングはHTML生成時など、データを出力するタイミングで実施します。使用する言語・環境に応じた実装方法を選択しましょう。

JavaScriptでの実施方法（独自関数の作成）

JavaScriptにはサニタイジング専用の標準関数がないため、独自に文字列を置換する関数を定義して実施します。

function htmlentities(str) {
  return String(str)
    .replace(/&/g, "&")
    .replace(/</g, "&lt;")
    .replace(/>/g, "&gt;")
    .replace(/"/g, "&quot;")
    .replace(/'/g, "&#039;");
}

replace(/〇/g, "◆") は「文字列中の〇をすべて◆に置き換える」処理です。この関数を使用することで & → &、< → <、> → >、" → "、' → ' に置き換えられ、HTML上で特別な意味を持たない単なる文字列として扱われます。

PHPでの実施方法（htmlspecialchars関数）

PHPにはサニタイジングに使えるhtmlspecialchars関数があらかじめ用意されており、これを利用するだけで実現できます。

htmlspecialchars($str, ENT_QUOTES, 'UTF-8');

各引数の役割は以下のとおりです。

JavaScriptと異なり独自の置換関数を定義する必要がなく、手軽に実装できます。

SQLでの実施方法（プリペアドステートメント）

SQLに対するサニタイジングにはプリペアドステートメントの活用が推奨されます。プリペアドステートメントは「SQL実行前にSQL文の構造をコンパイルしておき、実行時にパラメータ変数に値を安全に当てはめる」仕組みです。

$stmt = $dbh->prepare('SELECT * FROM users WHERE name = :name');
$stmt->bindParam(':name', $name);
$stmt->execute();

この仕組みでは、ユーザーが入力した値は「データ」としてのみ扱われ、「SQL命令」として解釈されることはありません。そのため不正なSQL文が注入されてもデータベースを不正操作されることを防げます。MySQLやPostgreSQLなど主要なデータベースで広くサポートされており、SQLインジェクション対策の標準的な手法です。

サニタイジングだけでは不十分な理由

サニタイジングでカバーできない脆弱性

サニタイジングはXSSやSQLインジェクションに対して非常に有効ですが、すべてのセキュリティリスクをカバーできるわけではありません。たとえば以下のような脆弱性はサニタイジングだけでは防げません。

• 不適切なアクセス制御（認可の不備）
• 不適切なセッション管理
• 脆弱な認証・認可の仕組み
• セキュリティ設定の不備（ディレクトリリスティング等）
• APIの認証・認可の欠如

脆弱性診断との組み合わせが重要

サニタイジングを実施したうえで、Webアプリケーション全体の脆弱性を網羅的に評価する「脆弱性診断」を組み合わせることが重要です。脆弱性診断を定期的に実施することで、サニタイジングの実装漏れや他のセキュリティリスクを特定・修正できます。

IPAやJPCERT/CCが発する脆弱性情報を定期的にチェックし、自社のWebアプリケーションで使用しているソフトウェアに関連する情報を把握しておくことも有効です。

よくある質問（FAQ）

サニタイジングはいつ行えばいい？

サニタイジングはデータを「出力する」タイミングで行うのが基本です。入力を受け取った時点ではなく、HTMLとして出力する・データベースにSQL文として渡す・JavaScriptとして実行するなど、データを使用する文脈に応じてサニタイジングを実施します。入力値を受け取った時点で変換してしまうと、意図しないデータ変換が起きる場合があるため注意が必要です。

フロントエンドだけのサニタイジングで十分？

十分ではありません。JavaScriptによるフロントエンド側のサニタイジングはブラウザ上では有効ですが、悪意ある攻撃者はブラウザを介さず直接サーバーへリクエストを送ることができます。そのためバックエンド（サーバー側）でもサニタイジングを実施することが必須です。「フロントエンドでもバックエンドでも両方行う」が鉄則です。

サニタイジングの実装が難しい場合はどうする？

フレームワークやライブラリを活用するのが現実的な対策です。LaravelやDjangoなどの主要なWebフレームワークには、サニタイジングやエスケープ処理の機能が組み込まれています。これらを適切に活用することで、独自実装の手間とリスクを大幅に減らせます。また定期的な脆弱性診断サービスを利用して、実装の不備を専門家にチェックしてもらうことも有効です。

まとめ

サニタイジングとは入力データの有害な文字やコードを無害化する処理で、XSS・SQLインジェクション・セッションハイジャックなどを防ぐ基本的なセキュリティ対策です。エスケープ処理はその手法の一つで、バリデーションとは役割が異なります。

JavaScript・PHP・SQLそれぞれに適した実装方法を出力の文脈に合わせて適切に実施し、脆弱性診断と組み合わせてWebアプリ全体のセキュリティを強化しましょう。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから