はじめに — 依存も、あなたのコードの一部

npm install でパッケージを入れた瞬間、そのパッケージのコードは、あなたのアプリの一部として動きます。もしそのパッケージに脆弱性があれば——あなたが一行も書いていないのに、あなたのアプリに穴が空きます。大きなアプリは、数百から数千のパッケージに依存することも珍しくなく、そのすべてが、あなたのコードの信頼性に関わってきます。

この「依存関係に何が含まれ、どんなリスクがあるか」を確認する活動を、SCA(Software Composition Analysis、ソフトウェア構成分析)と呼びます。実務の診断でも、コードそのものの穴(sec-audit)とは別に、「何に依存しているか」を確認する工程が、ほぼ必ず含まれます。

これまでのコースは、自作のやられアプリを攻撃・修正・再検証してきました。このコースは違います。依存パッケージの脆弱性を悪用する実演は行いません。代わりに、あなた自身のプロジェクトを守るための、防御側の読み方——npm audit の読み方、lockfile の役割、パッケージ名のなりすましの見分け方——だけを扱います。悪用コードは書かず、確認と防御の手順に徹します。