脆弱性の解説：Cross-Site Scripting in Kotlin

Learn how to fix Cross-Site Scripting (XSS) (CWE-79) in Kotlin. Side-by-side vulnerable vs secure code examples for Ktor HTML DSL and Thymeleaf template escaping.

💡 わかりやすい解説 (ELI5)

オフィスの共有掲示板に「これを読んだ人は、隣の人に財布を渡してください」という貼り紙をする場面を例えに考えてみてください。もし通りかかった全員が掲示板の指示に無条件に従ってしまうと、貼り紙を出した人が全員の所持金を盗めてしまいます。

主要な概念と専門用語

Web Application Security: 主要概念 (Web Application Security)：Core architecture component affected by CWE-79.
CWE-79: 主要概念 (CWE-79)：Standard Common Weakness Enumeration classification for xss-kotlin.
Defense-in-Depth: 主要概念 (Defense-in-Depth)：Multi-layered engineering verification and runtime boundary isolation.

ステップ・バイ・ステップの攻撃フロー

Step 1

悪意あるスクリプトの挿入

攻撃者がフォームやURLパラメータを通じてHTMLタグやJavaScript（例: <script> や <img onerror=...>）を挿入します。

Step 2

エスケープ処理のないHTMLレンダリング

アプリケーションが入力を適切なHTMLエンティティ化を行わずにページ内へ反映またはデータベースに保存します。

Step 3

ブラウザによるDOM解釈とスクリプト実行

被害者がページを読み込んだ際、ブラウザが挿入されたテキストを実行可能なスクリプトとして解釈します。

Step 4

セッションハイジャックと資格情報窃取

被害者の権限下でスクリプトが動作し、認証CookieやlocalStorageのトークンを攻撃者サーバーへ送信します。

ソースコード比較：脆弱 vs 堅牢化

✕ 脆弱な実装

// untrusted HTML loaded with JS + native bridge
webView.settings.javaScriptEnabled = true
webView.addJavascriptInterface(
  NativeBridge(), "Android"
)
webView.loadData(untrustedHtml,
  "text/html", "UTF-8")

✓ 堅牢化されたセキュアパッチ

// sanitize first; avoid exposing a bridge
val safeHtml = sanitize(untrustedHtml)
webView.settings.javaScriptEnabled = false
webView.loadData(safeHtml,
  "text/html", "UTF-8")

エンジニアリング＆システム堅牢化チェックリスト

✓any untrusted HTML before loading it into a WebView を適切にサニタイズおよびエスケープしてください。
✓JavaScript in the WebView unless genuinely required を無効化または制限してください。
✓決して register addJavascriptInterface() on a WebView that can load untrusted content しないでください。
✓推奨されるセキュリティ対策：On the server side, use th:text over th:utext — same rule as Java。