サニタイジングとは？

サニタイジングとは、利用者が入力した文字のうち、特別な意味を持つ記号を無害な表現へ置き換えたり、想定した形式かを検査したりする処理。Webアプリの代表的な脆弱性を作り込まないための開発側の対策として問われる。

情報セキュリティマネジメント試験の過去問では1回出題されています。

さにたいじんぐ

情報セキュリティマネジメント試験の頻出用語／テクノロジ系

サニタイジングの意味

利用者が入力した文字のうち、特別な意味を持つ記号を無害な表現へ置き換えたり、想定した形式かを検査したりする処理。Webアプリの代表的な脆弱性を作り込まないための開発側の対策として問われる。

自社の問合せフォームで、氏名欄に記号やスクリプトの断片を入れても、そのまま画面や検索処理へ渡らないようにする。外部へ委託して開発する際は、この処理を行うことを要件定義書と検収の確認項目に明記しておく。

利用者側で気を付ける運用対策ではなく、作る側の実装で行う対策である。またブラウザ側の入力チェックだけでは不十分で、通信を直接組み立てられると回避される。サーバ側で必ず検査することが要点。

クロスサイトスクリプティングの手口はどれか。
正解：Webアプリケーションに用意された入力フィールドに、悪意のあるJavaScriptコードを含んだデータを入力する。
要点：XSSは他人のブラウザで悪意のスクリプトを実行させる
クロスサイトスクリプティング（XSS）は、利用者の入力をそのままWebページに出力してしまう脆弱性を突き、悪意のあるスクリプトを他の利用者のブラウザ上で実行させる攻撃である。これによりCookieの窃取や偽の入力画面の表示が可能になる。対策は、出力時に「<」などをエスケープするサニタイジングであり、入力を信用せず出力の文脈に応じて無害化することが要点である。
出典：平成28年度秋期情報セキュリティマネジメント試験午前問22（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。