ユーザーからの入力を信頼せず、適切にバリデーションとサニタイズを行うことは、Flask アプリケーションのセキュリティに不可欠である。
バリデーションとサニタイズの違い
| バリデーション | 入力が期待する形式か検証し、不正なら拒否 |
| サニタイズ | 入力から危険な部分を除去・エスケープして安全にする |
両方を組み合わせることが重要である。
Flask-WTF によるフォームバリデーション
pip install flask-wtf email-validator
from flask_wtf import FlaskForm
from wtforms import StringField, PasswordField, IntegerField
from wtforms.validators import DataRequired, Email, Length, NumberRange
class RegistrationForm(FlaskForm):
username = StringField('Username', validators=[
DataRequired(),
Length(min=3, max=20)
])
email = StringField('Email', validators=[
DataRequired(),
Email()
])
password = PasswordField('Password', validators=[
DataRequired(),
Length(min=8)
])
age = IntegerField('Age', validators=[
NumberRange(min=0, max=150)
])
@app.route('/register', methods=['GET', 'POST'])
def register():
form = RegistrationForm()
if form.validate_on_submit():
# バリデーション済みのデータ
username = form.username.data
return redirect(url_for('login'))
return render_template('register.html', form=form)
カスタムバリデータ
from wtforms.validators import ValidationError
def username_exists(form, field):
if User.query.filter_by(username=field.data).first():
raise ValidationError('Username already taken')
class RegistrationForm(FlaskForm):
username = StringField('Username', validators=[
DataRequired(),
username_exists
])
API のバリデーション（marshmallow）
pip install marshmallow
from marshmallow import Schema, fields, validate, ValidationError
class UserSchema(Schema):
username = fields.Str(required=True, validate=validate.Length(min=3, max=20))
email = fields.Email(required=True)
age = fields.Int(validate=validate.Range(min=0, max=150))
@app.route('/api/users', methods=['POST'])
def create_user():
schema = UserSchema()
try:
data = schema.load(request.json)
except ValidationError as err:
return {'errors': err.messages}, 400
# バリデーション済みの data を使用
user = User(**data)
db.session.add(user)
db.session.commit()
return schema.dump(user), 201
HTML のサニタイズ
ユーザー入力を HTML として表示する場合、XSS を防ぐためにサニタイズが必要である。
pip install bleach
import bleach
# 許可するタグと属性を指定
ALLOWED_TAGS = ['p', 'br', 'strong', 'em', 'a', 'ul', 'ol', 'li']
ALLOWED_ATTRS = {'a': ['href', 'title']}
def sanitize_html(dirty_html):
return bleach.clean(
dirty_html,
tags=ALLOWED_TAGS,
attributes=ALLOWED_ATTRS,
strip=True
)
@app.route('/post', methods=['POST'])
def create_post():
content = request.form['content']
safe_content = sanitize_html(content)
post = Post(content=safe_content)
db.session.add(post)
db.session.commit()
return redirect(url_for('index'))
Jinja2 の自動エスケープ
Jinja2 はデフォルトで HTML エスケープを行う。
<!-- 安全: 自動エスケープ --> <p>{{ user_input }}</p> <!-- 危険: エスケープを無効化 --> <p>{{ user_input | safe }}</p>
| safe フィルタは、サニタイズ済みのデータにのみ使用すること。
入力バリデーションのベストプラクティス
ホワイトリスト方式で許可する文字・形式を定義
長さ、範囲、形式を必ずチェック
クライアント側バリデーションは信用しない
エラーメッセージで内部情報を漏らさない
適切なバリデーションとサニタイズにより、多くの攻撃を未然に防ぐことができる。
