フロントエンド開発者のためのセキュリティのヒント

XSS、Clickjacking、SQL Injection などを防ぐための基本的なセキュリティ指針

1. ユーザー入力の制限 : DOMPurify、Secure-filters

2. hidden の使用に注意 : ZAP

3. content-security-policy(CSP) ヘッダーを追加

4. XSS 防止モードのヘッダーを追加

5. innerHTML の代わりに textContent

6. X-Frame-Options : Deny を追加 - iframe 埋め込み防止

7. エラーメッセージの一般化 : "パスワードが間違っています" → "ログイン情報が正しくありません"

8. Captcha を使用 : ログイン、会員登録および登録、Contact などのページ

9. Referrer-Policy ヘッダー、または a タグに rel=noopener を追加

10. Feature-Policy ヘッダーを追加

11. 定期的に npm audit を実行

12. フロントのドメインを機能別に分離する

13. サードパーティサービス呼び出し時に注意する : CSP 設定とスクリプト読み込み時に integrity 属性を適用