Go言語のXSS・CSRF対策を理解しよう！Webアプリケーションのセキュリティ対策を初心者向けに解説

Go言語のXSS・CSRF対策を理解しよう（Webアプリケーション向け）

先生と生徒の会話形式で理解しよう

生徒

「Go言語でWebアプリを作るときに、XSSとかCSRFって言葉をよく見るんですが、これは何なんですか？」

先生

「どちらもWebアプリケーションのセキュリティに関する攻撃の種類です。対策をしないと、ユーザーの情報が盗まれたり、不正な操作が行われる危険があります。」

生徒

「そんなに危険なんですか。Go言語でも対策が必要なんですね。」

先生

「もちろん必要です。Go言語は安全な言語ですが、Webアプリケーションのセキュリティは開発者が意識して実装する必要があります。」

生徒

「初心者でも理解できますか？」

先生

「大丈夫です。XSSとCSRFの仕組みと、Go言語での対策方法を順番に見ていきましょう。」

1. XSSとは何かを理解しよう

XSSとはクロスサイトスクリプティングという攻撃のことです。Webアプリケーションの入力フォームやコメント欄などに、悪意のあるプログラムを埋め込む攻撃です。

例えばブログのコメント欄を想像してみてください。本来は文章を書くだけの場所ですが、もしそこにプログラムを書くことができたらどうなるでしょうか。

攻撃者がJavaScriptなどのスクリプトを埋め込むと、ページを見たユーザーのブラウザでそのプログラムが実行されてしまいます。その結果として次のような被害が起きる可能性があります。

ログイン情報の盗み取り
偽の画面の表示
ユーザーの操作の乗っ取り

このような攻撃を防ぐために、Go言語のWebアプリケーションでは出力時のエスケープ処理が重要になります。

2. Go言語でのXSS対策の基本

Go言語でWebアプリケーションを作る場合、多くの場合はテンプレートエンジンを使ってHTMLを表示します。そのときに利用するのがhtmlテンプレートパッケージです。

htmlテンプレートパッケージは、自動的に危険な文字をエスケープしてくれるため、XSS対策として非常に重要です。

エスケープとは、プログラムとして解釈される文字を、ただの文字として表示する処理のことです。


package main

import (
    "html/template"
    "net/http"
)

type Page struct {
    Message string
}

func handler(w http.ResponseWriter, r *http.Request) {
    tmpl := template.Must(template.New("test").Parse(`
    <html>
    <body>
    <h1>{{.Message}}</h1>
    </body>
    </html>
    `))

    data := Page{
        Message: r.URL.Query().Get("msg"),
    }

    tmpl.Execute(w, data)
}

func main() {
    http.HandleFunc("/", handler)
    http.ListenAndServe(":8080", nil)
}

このコードではユーザーの入力をそのまま表示していますが、htmlテンプレートが自動でエスケープ処理を行います。そのためスクリプトが実行されることを防ぐことができます。

3. 危険な書き方と安全な書き方

Go言語のWeb開発では、fmtパッケージなどを使ってHTMLを直接出力する方法もあります。しかしこの方法はXSS攻撃を受ける危険があります。

次の例は安全ではないコードの例です。


package main

import (
    "fmt"
    "net/http"
)

func handler(w http.ResponseWriter, r *http.Request) {
    name := r.URL.Query().Get("name")

    fmt.Fprintf(w, "<h1>Hello %s</h1>", name)
}

func main() {
    http.HandleFunc("/", handler)
    http.ListenAndServe(":8080", nil)
}

このコードではユーザー入力がそのままHTMLに出力されています。もしここにスクリプトが含まれていた場合、そのまま実行されてしまいます。

そのためGo言語で安全なWebアプリケーションを作る場合は、htmlテンプレートを使うことが重要です。

4. CSRFとは何かを理解しよう

CSRFとはクロスサイトリクエストフォージェリという攻撃です。少し難しい名前ですが、簡単に言うとユーザーの意思とは関係なく操作を実行させる攻撃です。

例えば銀行のWebサイトにログインしている状態で、攻撃者が用意したページを開いたとします。そのページの中に送金リクエストが仕込まれていた場合、ユーザーの知らないうちに送金処理が実行される可能性があります。

これはブラウザが自動的にログイン情報を送信してしまう仕組みを悪用した攻撃です。

そのためWebアプリケーションでは、本当に正しいページから送信されたリクエストなのかを確認する仕組みが必要になります。

5. Go言語でCSRFトークンを使った対策

CSRF対策としてよく使われるのがCSRFトークンという仕組みです。

これはフォームを表示するときにランダムな文字列を発行し、その値をフォームとサーバーの両方で保存しておく方法です。

送信されたときにその値が一致しているか確認することで、不正なリクエストを防ぐことができます。


package main

import (
    "crypto/rand"
    "encoding/hex"
)

func generateToken() string {
    b := make([]byte, 16)
    rand.Read(b)
    return hex.EncodeToString(b)
}

このコードでは安全なランダム文字列を生成しています。この文字列をCSRFトークンとして利用することができます。

6. CSRFトークンをフォームに埋め込む方法

生成したCSRFトークンはHTMLフォームに埋め込みます。多くの場合はhiddenフィールドとして送信します。


<form method="POST" action="/send">
    <input type="hidden" name="csrf_token" value="{{.Token}}">
    <input type="text" name="message">
    <button type="submit">送信</button>
</form>

このようにフォームの中にトークンを入れておくことで、正しいページから送信されたリクエストかどうかを確認できます。

7. 送信されたCSRFトークンを検証する

フォームが送信されたときには、サーバー側でトークンの値を確認します。保存しておいたトークンと一致していれば正しいリクエストと判断できます。


func checkToken(formToken string, sessionToken string) bool {
    if formToken == sessionToken {
        return true
    }
    return false
}

このようにトークンを確認することで、第三者のサイトから送られた不正なリクエストを防ぐことができます。

Go言語で安全なWebアプリケーションを作るためには、XSS対策とCSRF対策の両方を意識することが重要です。入力値の扱い方、テンプレートの利用、トークンによる検証などを組み合わせることで、より安全なWebサービスを作ることができます。

Go言語を基礎からスッキリ学びたい人や、文法だけでなく「実用的な使い方」まで押さえたい人には、定番の入門書がこちらです。

基礎からわかるGo言語をAmazonで見る

※ Amazon広告リンク

まとめ

ここまでGo言語を使ったWebアプリケーション開発におけるXSS対策とCSRF対策について解説してきました。Webアプリケーションのセキュリティ対策は、Go言語の初心者にとっても非常に重要な知識です。特にWebサービスを公開する場合、XSS攻撃やCSRF攻撃のような代表的なセキュリティリスクを理解しておくことは、安定したサービス運用のために欠かせません。

XSSとはクロスサイトスクリプティングと呼ばれる攻撃で、ユーザー入力に悪意のあるスクリプトを混入させることで、他のユーザーのブラウザ上で不正な処理を実行させる攻撃です。コメント欄や検索フォーム、プロフィール入力など、ユーザーが自由に文字を入力できる機能があるWebアプリケーションでは特に注意が必要です。

Go言語のWebアプリケーションでは、htmlテンプレートパッケージを利用することで自動的にHTMLエスケープが行われます。このエスケープ処理によって、スクリプトタグや危険なHTMLタグがそのまま実行されることを防ぐことができます。安全なWeb開発を行うためには、ユーザー入力を直接HTMLへ出力するのではなく、必ずテンプレートエンジンを利用することが基本になります。

一方でCSRFとはクロスサイトリクエストフォージェリと呼ばれる攻撃で、ユーザーが意図していないリクエストを実行させる攻撃です。ユーザーがログイン状態のまま別のサイトを閲覧したときに、攻撃者が仕込んだリクエストが自動的に送信されてしまう可能性があります。例えば送金処理やアカウント設定変更などの重要な操作が不正に実行されてしまう危険があります。

このようなCSRF攻撃を防ぐために利用されるのがCSRFトークンです。CSRFトークンとは、ランダムに生成された文字列をフォームに埋め込み、サーバー側でも同じ値を保存しておく仕組みです。フォーム送信時にトークンを検証することで、正しいページから送信されたリクエストであるかどうかを確認できます。

Go言語ではcryptoパッケージを利用することで安全なランダム文字列を生成することができます。生成したトークンはセッションなどに保存し、フォームのhiddenフィールドに埋め込むことでCSRF対策を実装できます。

また安全なWebアプリケーションを開発するためには、XSS対策とCSRF対策だけでなく、入力値検証や認証処理、セッション管理などの複数のセキュリティ対策を組み合わせて実装することが重要です。Go言語はシンプルで高速なプログラミング言語ですが、Webセキュリティの責任は開発者にあります。そのため基本的なセキュリティ知識を身につけ、常に安全な実装を意識することが重要です。

Go言語でのWeb開発では、テンプレートによる安全なHTML出力、ユーザー入力の適切な処理、CSRFトークンによるリクエスト検証などを組み合わせることで、より安全なWebアプリケーションを構築することができます。初心者のうちからこれらのセキュリティ対策を理解しておくことで、実務レベルの安全なシステム開発につながります。

XSS対策のポイントを整理

ユーザー入力を直接HTMLに出力しない
Go言語のhtmlテンプレートを利用する
HTMLエスケープ処理を意識する
危険な文字列が実行されないようにする

CSRF対策のポイントを整理

CSRFトークンをフォームに埋め込む
ランダムなトークンを生成する
サーバー側でトークンを検証する
正しいリクエストかどうか確認する

Go言語でのCSRFトークン生成サンプル


package main

import (
    "crypto/rand"
    "encoding/hex"
    "fmt"
)

func generateToken() string {
    b := make([]byte, 16)
    rand.Read(b)
    return hex.EncodeToString(b)
}

func main() {
    token := generateToken()
    fmt.Println("CSRF Token:", token)
}

このプログラムを実行すると、毎回異なるランダム文字列が生成されます。このようなトークンをフォームに埋め込むことで、Go言語のWebアプリケーションにおけるCSRF対策を実装することができます。

実行結果


CSRF Token: a1b3c9d2e7f81234abcd5678ef901234

先生と生徒の振り返り会話

生徒

今日の内容で、Go言語のWebセキュリティがとても重要だということが分かりました。特にXSS攻撃はユーザー入力が原因で発生することが多いんですね。

先生

その通りです。Go言語でWebアプリケーションを開発するときは、ユーザー入力を安全に扱うことが基本になります。htmlテンプレートを使えば自動エスケープが行われるので、安全なHTML出力ができます。

生徒

fmtでHTMLを直接出力すると危険になる可能性があるという話も理解できました。テンプレートを使うことが大切なんですね。

先生

そうです。そしてもう一つ重要なのがCSRF対策です。ユーザーが意図していないリクエストを防ぐために、CSRFトークンを使ってリクエストを検証します。

生徒

ランダムなトークンを作ってフォームに埋め込み、送信されたときにサーバーで確認する仕組みですね。

先生

その理解で大丈夫です。Go言語で安全なWebアプリケーションを作るためには、XSS対策とCSRF対策の両方をしっかり実装することが大切です。これらの知識は実際のWebサービス開発でも必ず役立ちます。

生徒

Go言語のセキュリティ対策の基本がよく分かりました。これからWebアプリケーションを作るときは、入力値の扱い方やCSRFトークンを意識して実装してみます。

【超入門】ゼロから始めるGo言語プログラミング：最速で「動くアプリ」を作るマンツーマン指導

「プログラミングの仕組み」が根本からわかる。Go言語でバックエンド開発の第一歩を。

本講座を受講することで、単なる文法の暗記ではなく、「プログラムがコンピュータの中でどう動いているか」という本質的な理解につながります。シンプルながら強力なGo言語（Golang）を通じて、現代のバックエンドエンジニアに求められる基礎体力を最短距離で身につけます。

具体的な開発内容と環境

【つくるもの】
ターミナル（黒い画面）上で動作する「対話型計算プログラム」や、データを整理して表示する「ミニ・ツール」をゼロから作成します。自分の書いたコードが形になる感動を体験してください。

【開発環境】
プロの現場でシェアNo.1のVisual Studio Code (VS Code)を使用します。インストールから日本語化、Go言語用の拡張機能設定まで、現場基準の環境を一緒に構築します。

この60分で得られる3つの理解

1. 環境構築の完全な理解

「なぜ動くのか」という設定の仕組みを理解し、今後の独学で詰まらない土台を作ります。

2. Go言語の基本構造（変数・型）

データの種類やメモリの概念など、他言語にも通じるプログラミングの本質を学びます。

3. 読みやすいコードの書き方

ただ動くだけでなく、誰が見ても分かりやすい「綺麗なコード」を書くための考え方を伝授します。

※本講座は、将来的にバックエンドエンジニアやクラウドインフラに興味がある未経験者のためのエントリー講座です。マンツーマン形式により、あなたの理解度に合わせて進行します。

初めてのGo言語を一緒に学びましょう！

詳細・お申し込みはこちら