追いかける — 初見のコードで、実際にやってみる

前章のカタログを使って、実際に読みます。以下は、ある社内向けレポート閲覧ツールという想定のコードです。まだ動かしていません。まずは、目だけで読んでください。

// report-download.js — 社内向けレポート閲覧ツール(コード読解演習用)。
const http = require('node:http');
const fs = require('node:fs');
const path = require('node:path');
const { DatabaseSync } = require('node:sqlite');

const REPORTS_DIR = path.join(__dirname, 'reports');
const db = new DatabaseSync(path.join(__dirname, 'reports.db'));

http.createServer((req, res) => {
  const url = new URL(req.url, 'http://127.0.0.1:4100');
  const role = req.headers['x-staff-role']; // 社内ゲートウェイが付与する想定のヘッダー

  if (url.pathname === '/report') {
    const name = url.searchParams.get('name') || '';
    if (name.startsWith('..')) { res.writeHead(400); res.end('不正なファイル名です'); return; }
    const filePath = path.join(REPORTS_DIR, name);
    fs.readFile(filePath, (err, data) => {
      if (err) { res.writeHead(404); res.end('見つかりません'); return; }
      res.end(data);
    });
    return;
  }

  if (url.pathname === '/search') {
    if (role !== 'admin') { res.writeHead(403); res.end('権限がありません'); return; }
    const keyword = url.searchParams.get('q') || '';
    const rows = db.prepare(`SELECT * FROM reports WHERE title LIKE '%${keyword}%'`).all();
    res.setHeader('Content-Type', 'application/json');
    res.end(JSON.stringify(rows));
    return;
  }

  res.end('ok');
}).listen(4100);

読み終えたら、自分なりに「疑わしい箇所」をメモしてから、以下を読み進めてください。

追跡1 — /report のファイル名

追跡2 — /search のキーワード

追跡3 — 認可の判定(要注意・保留)

「読むだけでは断定できない」も、大事な発見

3つめが、この章でいちばん大事な学びです。

持ち帰る一言

部分的な対策は、油断させる。 startsWith('..') のような一見の対策は、かえって見落としを誘います。sink を見つけたら、その手前の無害化が「本当に十分か」を、sec-securecoding の4原則に照らして確かめる。断定できないものは、確認すべき疑問として残す。次は、修正前後の差分を読むことで、パターン認識をさらに鍛えます。