バックエンド開発者が知っておくべきNode.jsセキュリティコードスニペット5選

バックエンド開発者には、アプリケーションのセキュリティを確保するという重要な役割があります。Node.jsも例外ではありません。人気の高まりとともにハッカーにとって格好の標的となっているため、Node.jsを使う際はセキュリティのベストプラクティスに従うことが不可欠です。

このブログでは、2024年にバックエンド開発者が知っておくべきNode.jsの重要なセキュリティコードスニペットをご紹介します。Node.jsソフトウェアの脆弱性は、あらゆるアプリケーションにとって重大な脅威となり得ます。不正アクセスやデータ漏えいを招き、最悪の場合はシステム全体が侵害される可能性があります。そのため、セキュリティのベストプラクティスに従うことは単なる推奨事項ではなく、必須事項です。

Node.jsでは、悪用可能な抜け穴をコードに作らないようにすることが重要です。インジェクション攻撃を防ぐためにユーザー入力をサニタイズする、パスワードを機密データとして適切に扱う、サードパーティ製の脆弱性を防ぐために依存関係を管理するなど、さまざまな対策が必要です。

ここでは、一般的なセキュリティ脆弱性の防止効果が高く、専門的なセキュリティ知識がなくても開発者が手軽に実践できるNode.jsのセキュリティ概念とコードスニペットを紹介します。

1. Node.jsの権限モデルを使って、実行時のリソースへのアクセスを制限する

2. FastifyのJSONスキーマで入力検証を実装する

3. Bcryptでパスワードのハッシュ化を安全に行う

4. Knex.jsでSQLインジェクション攻撃を防ぐ

5. fastify-rate-limitでレート制限を実装する

1. Node.jsの権限モデルを使って、実行時のリソースへのアクセスを制限する

Node.jsの権限モデルは、アプリケーションのセキュリティ確保に重要な役割を果たします。Node.jsのコアセキュリティモデルの重要な要素であり、攻撃や悪意ある活動からアプリケーションを守ります。Denoがプロセス単位のリソース制限によって実現したセキュリティと同様に、Node.jsにも（一定の範囲で）同様の権限モデルが導入されています。

Node.jsアプリケーションでPDFファイルをPNG画像に変換するケースを考えてみましょう。この処理にはnpmパッケージのpdf-imageを使用できます。pdf-imageパッケージは変換に子プロセスを使用します。これを有効にするには、Node.jsランタイムで権限モデルが提供する--allow-child-processフラグを使う必要があります。

以下のコードスニペットをご覧ください。

1const { PDFImage } = require('pdf-image');
2const path = require('path');
3
4const pdfPath = path.resolve(__dirname, 'sample.pdf');
5const pdfImage = new PDFImage(pdfPath, {
6  convertOptions: {
7    '-density': '300',
8    '-quality': '80'
9  },
10  combinedImage: true
11});
12pdfImage.convertFile().then(() => {
13  console.log('PDF converted to PNG successfully');
14}).catch((err) => {
15  console.error(`Failed to convert PDF to PNG: ${err}`);
16});

このスニペットでは、PDFファイルのパスと変換オプションを指定してPDFImageの新しいインスタンスを作成しています。次にconvertFile()を呼び出し、PDFをPNG画像に変換します。

Node.jsで実験的な権限モデルを有効にする場合は、前述の--allow-child-processコマンドラインフラグを付けてNode.jsランタイムを明示的に実行する必要があります。内部ではpdf-imageライブラリが子プロセスを起動してPDFを変換するためです。

Node.jsの権限モデルはシステムリソースへのアクセスを制限する優れた方法ですが、使用するパッケージに潜むセキュリティ脆弱性にも注意が必要です。そこで役立つのがVisual Studio Code用Snyk拡張機能です。Snyk拡張機能は、Node.jsアプリケーション内の安全でないコードや脆弱な依存関係を検出できます。たとえば、先ほど紹介したpdf-imageパッケージは、子プロセスを使用することによるコマンドインジェクションの脆弱性が知られています。この脆弱性は2018年から報告されていますが、残念ながら現時点で修正プログラムはありません。

このことから、Snykのようなツールを使って依存パッケージのセキュリティ脆弱性を把握しておくことの重要性がわかります。また、子プロセスのように、適切に扱わなければセキュリティリスクとなる機能の使い方にも注意が必要です。

Node.js開発者には、機能するだけでなく安全なコードを書く責任があります。Node.jsアプリケーションのセキュリティを高める重要な方法の一つは、組み込みの権限モデルを使って実行時のシステムリソースへのアクセスを制限することです。アプリケーションで子プロセス機能が不要だとわかっている場合は、攻撃対象領域を広げないよう、このリソースを有効にしないでください。

Node.jsの権限モデルに関するFAQ

2. FastifyのJSONスキーマで入力検証を実装する

入力検証は、バックエンド開発に欠かせない要素です。ExpressやFastifyなどのフレームワークでAPIを構築したことがあれば、その重要性はすでにご存じでしょう。入力検証は、適切な形式のデータだけがシステムに渡るようにするセキュリティ対策であり、潜在的なリスクを防ぎます。Node.jsアプリケーションで入力検証を実装する方法の一つが、FastifyのWebアプリケーションでFastifyスキーマを使用することです。

Fastifyのスキーマベースのアプローチ

Fastifyは、入力検証にスキーマベースのアプローチを採用しています。必須ではありませんが、JSONスキーマを活用してルートを検証し、出力をシリアライズすることが推奨されます。JSONスキーマはデータの契約として、想定されるデータ形式、データ型、必須フィールド、その他の制約を定義します。FastifyのルートでJSONスキーマを使うのは、ビルド時にTypeScriptでコードの型安全性を確保するのと似ています。

新しいユーザーを作成するシンプルなFastifyアプリケーションを考えてみましょう。Fastifyスキーマを使って入力データを検証できます。

1const fastify = require('fastify')({ logger: true });
2
3const UserSchema = {
4  body: {
5    type: 'object',
6    properties: {
7      name: { type: 'string' },
8      email: { type: 'string', format: 'email' },
9      password: { type: 'string', minLength: 8 }
10    },
11    required: ['name', 'email', 'password']
12  }
13};
14
15// User creation route
16fastify.post('/users', { schema: UserSchema }, async (request, reply) => {
17  // Example user creation logic
18  // In a real application, you would replace this with actual database logic
19  const user = request.body;
20
21  // Simulating user creation
22  console.log("Creating user:", user);
23
24  // Responding with the created user (in real applications, never send the password back)
25  return reply
26    .code(201)
27    .send({ success: true, message: "User created", user: { name: user.name, email: user.email } });
28});
29
30// Server startup
31const start = async () => {
32  try {
33    await fastify.listen({ port: 6000, host: 'localhost' });
34    console.log(`Server running at http://localhost:3000/`);
35  } catch (err) {
36    fastify.log.error(err);
37    process.exit(1);
38  }
39};
40
41start();

上記のコードでは、名前、メールアドレス、パスワードを必須とするUserSchemaを定義しています。メールアドレスは有効な形式である必要があり、パスワードは8文字以上でなければなりません。

入力検証を怠ると、サーバーサイドリクエストフォージェリ（SSRF）やHTTPパラメータ汚染攻撃など、さまざまなセキュリティリスクにアプリケーションがさらされます。SSRF攻撃では、サーバーをだまして不正なリクエストを送信させ、データが漏えいする可能性があります。一方、HTTPパラメータ汚染ではリクエストが操作または破損され、予期しない動作につながる恐れがあります。

Snykなどのツールは、コードをスキャンしてセキュリティ上の問題を検出し、こうした脆弱性の発見を支援します。また、修正に役立つアドバイスも提供し、アプリケーション全体のセキュリティ向上をサポートします。

Fastifyでの入力検証に関するFAQ

3. Bcryptでパスワードのハッシュ化を安全に行う

ソフトウェア開発では、ユーザーのパスワードを安全に保存することが不可欠です。データ侵害が発生した場合でも、ユーザーのパスワード情報を簡単に解読されないようにする必要があります。そこで使われるのがパスワードのハッシュ化です。ハッシュ化とは、与えられたキーを別の値に変換する処理です。ハッシュ関数で新しい値を生成し、理想的には入力値ごとに固有の出力（ハッシュ値）を得ます。

サービスや別のライブラリに頼らず、自分で認証を実装する場合は、パスワードのセキュリティをどのように扱うかが、アプリケーション全体の安全性に直接影響することを理解しておくことが重要です。

Node.jsでのパスワードハッシュ化に使うBcryptの概要

Bcryptは、安全性が非常に高いとされるパスワードハッシュ関数を提供するアルゴリズム兼npmパッケージです。レインボーテーブル攻撃を防ぐソルト（ランダムデータ）を組み込み、処理負荷を調整できるコスト係数も設定できます。これにより、ハッシュ化に必要なCPU負荷を指定でき、ブルートフォース攻撃の防止に役立ちます。

シンプルな使用例を見てみましょう。

1const bcrypt = require('bcrypt');
2const saltRounds = 10;
3const myPlaintextPassword = 'my_password';
4
5// Define an async function
6async function hashPassword(plaintextPassword) {
7  try {
8    const hash = await bcrypt.hash(plaintextPassword, saltRounds);
9    // Store hash in your password DB.
10    console.log(hash); // Example of how to use the hash
11  } catch (err) {
12    // Handle error
13    console.error(err);
14  }
15}
16
17// Call the async function
18hashPassword(myPlaintextPassword);

saltRoundsパラメーターは、ハッシュ化処理の複雑さを決定します。値が大きいほど処理時間が長くなり、ブルートフォース攻撃への対策になります。hash関数は、平文のパスワードに自動でソルトを加えてハッシュ化します。生成されたハッシュ値はデータベースに保存できます。

Node.jsのパスワードハッシュ化と認証管理に関するFAQ

4. Knex.jsでSQLインジェクション攻撃を防ぐ

SQLインジェクションは、アプリケーションのデータに大きなリスクをもたらす、広く見られるセキュリティ脆弱性です。Node.js開発者は、有望なSQLクエリビルダーであるKnex.jsを使って安全なSQLクエリを作成し、このリスクを軽減できます。ただし、Knex.jsでは生のSQLクエリを作成して実行することもできます。その場合、ユーザー入力を連結するとクエリに混入する可能性があるため、SQLインジェクションは依然としてセキュリティ上の問題となります。

Knex.jsは、Node.js向けの強力なSQLクエリビルダーです。トランザクション、コネクションプーリング、マイグレーション、シードに対応しているため、安全で堅牢かつスケーラブルなSQLクエリを作成したい開発者に選ばれています。Knex.jsは、パラメーター化クエリを使用し、SQL文に入力される値をエスケープすることで、SQLインジェクション攻撃を防ぎます。

以下のコードスニペットは、Knex.jsがSQLインジェクション攻撃を防ぐ方法を示しています。

1const knex = require('knex')({
2  client: 'pg',
3  connection: {
4    host : '127.0.0.1',
5    user : 'your_database_user',
6    password : 'your_database_password',
7    database : 'myapp_test'
8  }
9});
10
11// This value is provided by the user and could be malicious
12// such as applying an OR 1=1 SQL injection or other
13// techniques that escape the original context of the query
14// and create a new one
15let userProvidedValue = 'maliciousValue';
16
17knex('users')
18  .where('id', '=', userProvidedValue)
19  .select()
20  .then(rows => {
21    // process result
22  })
23  .catch(err => {
24    // handle error
25  });

この例では、userProvidedValueがKnex.jsによって自動的にエスケープされ、SQLインジェクション攻撃の可能性を防ぎます。

先ほど説明したように、Knex.jsを使うだけでSQLインジェクションに対する完全なサンドボックスやセキュリティ対策が実現するわけではありません。SQLインジェクションにつながる可能性のある、安全でないKnex.jsの使用例を見てみましょう。

1knex.raw(`SELECT * FROM users WHERE id = ${userProvidedValue}`)

この場合、userProvidedValueはエスケープもパラメーター化もされません。そのため、userProvidedValueに悪意のあるSQLコードが含まれていると、クエリはSQLインジェクションの影響を受けやすくなります。Snykは、コードベースにあるこのような脆弱性の検出を開発者に支援します。Snykはコードをスキャンし、SQLインジェクション攻撃の可能性を含むセキュリティ脆弱性の修正に役立つ、実行可能な情報を提供します。

Knex.jsでのSQLインジェクション対策に関するFAQ

5. fastify-rate-limitでレート制限を実装する

レート制限は、Webアプリケーションをサービス拒否（DoS）攻撃から守る重要なセキュリティ対策です。一定時間内にクライアントがアプリケーションへ送信できるリクエスト数を制御することで、不正なクライアントによる大量のリクエストでサーバーが過負荷になるのを防ぎ、正規ユーザーが引き続きアプリケーションを利用できるようにします。

fastify-rate-limitは、Fastify Webフレームワーク用のプラグインで、Node.jsアプリケーションに簡単にレート制限を実装できます。一定時間内にクライアントが送信できるリクエスト数の上限と、その上限を超えたときに返すレスポンスを指定できます。

fastify-rate-limitを使ってNode.jsアプリケーションにレート制限を実装する基本的な例を紹介します。

1const fastify = require('fastify')()
2
3fastify.register(require('@fastify/rate-limit'), {
4  // max number of connections during windowMs milliseconds before sending a 429 response
5  max: 100,
6  timeWindow: '1 minute'
7})
8
9fastify.get('/', (req, reply) => {
10  reply.send({ hello: 'world' })
11})
12
13fastify.listen(3000, err => {
14  if (err) throw err
15  console.log('Server listening at http://localhost:3000')
16})

このコードスニペットでは、Fastifyのレート制限パッケージを設定し、各クライアントのリクエストを1分あたり100件に制限しています。上限を超えると、サーバーは429（「リクエストが多すぎます」）ステータスコードを返します。

レート制限に関するFAQ

開発者がJavaScriptのセキュリティにSnykを使うべき理由

このブログでは、すべてのバックエンド開発者が知っておくべきNode.jsの重要なセキュリティコードスニペットを5つ紹介しました。SQLインジェクションの回避など、安全なコーディング手法の重要性と、アプリケーションのセキュリティ向上に果たす役割についても説明しました。テクノロジーの進化とサイバー脅威の複雑化が進む今、安全なコーディングの重要性はいくら強調してもしすぎることはありません。

開発者は、コードに潜む脆弱性を特定して軽減できる強力なセキュリティツールを活用することが重要です。その一つが、開発者向けの強力なセキュリティプラットフォームSnykです。コード、依存関係、コンテナなどの脆弱性を検出して修正できます。Snykを使えば、アプリケーションのセキュリティ脆弱性を継続的に監視でき、新たな脆弱性が見つかった際には自動修正PRを受け取れます。

1// Install Snyk CLI
2npm install -g snyk
3
4// Then run Snyk to find vulnerabilities
5snyk test

SnykはIDEやCI/CDパイプラインにシームレスに統合でき、アプリケーション開発ライフサイクル全体を通じて継続的なセキュリティを維持できます。Node.jsをはじめ、幅広いプログラミング言語に対応しているため、さまざまなプラットフォームで開発する人にとって汎用性の高いツールです。

セキュアコーディングはソフトウェア開発の基本であり、すべてのバックエンド開発者が優先すべき実践です。Snykのようなセキュリティツールを活用すれば、脆弱性の自動検出と修正機能によって、セキュアコーディングをさらに強化できます。絶えず変化するサイバー脅威に対応していくうえで、こうした実践とツールは、アプリケーションのセキュリティと完全性を維持するために欠かせません。