第10章 セキュアコーディングの基本

10.1 すべての基本 — 入力を信用しない

第2章で触れた大原則を、もう一度強調します。外部から来るデータ(ユーザー入力、ファイル、通信、環境変数)はすべて「汚染されている」とみなす。これがセキュアコーディングの出発点です。

入力検証には2つのアプローチがあります。

• 許可リスト方式(ホワイトリスト) — 「これだけOK」を定義し、それ以外を拒否する。原則こちらを使う
• 拒否リスト方式(ブラックリスト) — 「これはNG」を列挙する。抜け漏れが必ず出るため補助的な位置づけ

# 許可リスト方式:操作名を「あらかじめ決めた集合」だけに限定する
ALLOWED_ACTIONS = {"read", "list", "status"}

def run_action(action):
    if action not in ALLOWED_ACTIONS:
        raise ValueError(f"許可されていない操作です: {action}")
    print(f"{action} を実行します")

run_action("read")      # OK
run_action("delete")    # ValueError — 想定外は最初から弾く

10.2 SQLインジェクション

Webアプリで最も有名かつ危険な脆弱性です。ユーザー入力を文字列連結でSQL文に埋め込むと発生します。

# ❌ 脆弱なコード(絶対に真似しない)
def find_user_bad(cursor, username):
    query = "SELECT * FROM users WHERE name = '" + username + "'"
    cursor.execute(query)
    return cursor.fetchall()

ここで username に ' OR '1'='1 を入れられると、SQL文はこうなります。

SELECT * FROM users WHERE name = '' OR '1'='1'

'1'='1' は常に真なので、全ユーザーの情報が返ってしまいます。'; DROP TABLE users; -- ならテーブル削除すら狙われます。原因は「データであるべき入力が、SQLの命令として解釈された」ことです。

対策 — プレースホルダ(パラメータ化クエリ)

# ✅ 安全なコード:値は必ずプレースホルダで渡す
def find_user_good(cursor, username):
    query = "SELECT * FROM users WHERE name = ?"
    cursor.execute(query, (username,))   # 値は第2引数で別に渡す
    return cursor.fetchall()

プレースホルダ(? や %s)を使うと、入力は常にただのデータとして扱われ、SQLの命令として解釈されません。何が入力されても安全です。SQLiteでの完全な例を示します。

import sqlite3

conn = sqlite3.connect(":memory:")
cur = conn.cursor()
cur.execute("CREATE TABLE users (id INTEGER, name TEXT)")
cur.execute("INSERT INTO users VALUES (1, 'tanaka')")
cur.execute("INSERT INTO users VALUES (2, 'suzuki')")
conn.commit()

# 悪意ある入力を渡しても安全
evil = "' OR '1'='1"
cur.execute("SELECT * FROM users WHERE name = ?", (evil,))
print(cur.fetchall())   # [] — 何も返らない(そんな名前は存在しない)

10.3 コマンドインジェクション

Pythonから外部コマンド(pingやnslookupなど)を実行する処理でよく起きます。IT部門の運用スクリプトは特に要注意です。

import os

# ❌ 脆弱なコード:入力をそのままシェルに渡している
def ping_bad(host):
    os.system("ping -c 1 " + host)

host に 8.8.8.8; rm -rf ~ を入れられると、pingの後に任意のコマンドが実行されてしまいます。;、|、&&、バッククォートといったシェルの特殊文字が悪用されます。

対策 — subprocessで引数をリスト渡し、shell=Falseにする

import subprocess
import ipaddress

# ✅ 安全なコード
def ping_good(host):
    # 1) まず入力を検証(IPアドレスとして妥当か)
    ipaddress.ip_address(host)   # 不正ならここでValueError

    # 2) 引数をリストで渡し、シェルを経由しない(shell=False が既定)
    result = subprocess.run(
        ["ping", "-c", "1", host],
        capture_output=True, text=True, timeout=5,
    )
    return result.returncode == 0

print(ping_good("8.8.8.8"))          # True/False
# ping_good("8.8.8.8; rm -rf ~")     # ValueError で安全に停止

ポイントは2つです。①引数をリストで渡す(["ping", "-c", "1", host])ことで、host 全体が1つの引数として扱われ、特殊文字が解釈されません。②shell=True を使わない。どうしても必要な場合を除き、shell=True は避けます。

10.4 パストラバーサル(ディレクトリトラバーサル)

ファイル名をユーザーに指定させる処理で、../ を悪用して想定外のファイルにアクセスされる脆弱性です。

import os

BASE_DIR = "/var/app/uploads"

# ❌ 脆弱なコード
def read_file_bad(filename):
    path = os.path.join(BASE_DIR, filename)
    with open(path, encoding="utf-8") as f:
        return f.read()

# filename に "../../etc/passwd" を渡すと BASE_DIR の外に出てしまう

対策 — 正規化して、基準ディレクトリの中にあるか確認する

import os

BASE_DIR = os.path.realpath("/var/app/uploads")

def read_file_good(filename):
    # 実際の絶対パスに正規化(../ を解決する)
    path = os.path.realpath(os.path.join(BASE_DIR, filename))

    # 正規化後のパスが BASE_DIR の内側にあることを必ず確認
    if not path.startswith(BASE_DIR + os.sep):
        raise ValueError("不正なパスです")

    with open(path, encoding="utf-8") as f:
        return f.read()

pathlib を使うとより明快に書けます。

from pathlib import Path

BASE_DIR = Path("/var/app/uploads").resolve()

def read_file_pathlib(filename):
    path = (BASE_DIR / filename).resolve()
    if BASE_DIR not in path.parents and path != BASE_DIR:
        raise ValueError("不正なパスです")
    return path.read_text(encoding="utf-8")

10.5 機密情報をコードに書かない(ハードコーディング禁止)

パスワード、APIキー、トークンをソースコードに直接書くのは重大な事故のもとです。GitHubなどに push した瞬間、世界中から検索される可能性があります。

# ❌ 絶対にやってはいけない
API_KEY = "sk_live_1a2b3c4d5e6f7g8h"
DB_PASSWORD = "P@ssw0rd123"

# ✅ 環境変数から読み込む
import os
API_KEY = os.environ["API_KEY"]                  # 未設定なら例外で気づける
DB_PASSWORD = os.environ.get("DB_PASSWORD", "")  # 既定値つき

10.6 セキュアコーディング チェックリスト

コードを書き終えたら、この観点で自己レビューしましょう。

まとめ

• すべての外部入力を疑い、許可リストで検証する
• SQLはプレースホルダ、コマンドはリスト渡し+shell=False
• ファイルパスは正規化し、基準ディレクトリ内かを検証する
• 機密情報はコードに書かず環境変数などから読み込む。漏れたら即無効化
• 脆弱性の多くは「入力を安全でない方法で使う」ことに集約される

練習問題

def delete_user(cursor, user_id):
    cursor.execute(f"DELETE FROM users WHERE id = {user_id}")

def delete_user(cursor, user_id):
    cursor.execute("DELETE FROM users WHERE id = ?", (user_id,))

import subprocess
import re

def safe_nslookup(host):
    # 許可リスト方式:英数字・ドット・ハイフンのみ
    if not re.fullmatch(r"[A-Za-z0-9.\-]+", host):
        raise ValueError("不正なホスト名です")
    result = subprocess.run(
        ["nslookup", host],
        capture_output=True, text=True, timeout=5,
    )
    return result.stdout

print(safe_nslookup("example.com"))
# safe_nslookup("example.com; rm -rf ~")  → ValueError