---
title: ES6時代におけるWeb開発者とセキュリティ業界の乖離
tags:  #security  
author: [はせがわようすけ](https://convert.docswell.com/user/hasegawa)
site: [Docswell](https://www.docswell.com/)
thumbnail: https://bcdn.docswell.com/page/63EKKGGGED.jpg?width=480
description: 医療セキュリティハッカソン神戸2015内 ディスカッション資料
published: March 07, 15
canonical: https://convert.docswell.com/s/hasegawa/5VM4Q5-2022-03-14-205706
---
# Page. 1

![Page Image](https://bcdn.docswell.com/page/63EKKGGGED.jpg)

ES6時代における
Web開発者と
セキュリティ業界の乖離
開発側から見たセキュリティ業界に
対する懸念と求めるもの


# Page. 2

![Page Image](https://bcdn.docswell.com/page/4L73ZNN575.jpg)

過激派 注意！


# Page. 3

![Page Image](https://bcdn.docswell.com/page/V87DRWWYEG.jpg)

いまどきのWeb開発
• 静的なHTML+API
• アプリとWebの共通化、ＳＰＡ
• コンパイルされたＪＳ
• AltJS、Closure Compiler
• MV*、データバインディング
• Vue.js、AngularJS
• Virtual DOM
• React


# Page. 4

![Page Image](https://bcdn.docswell.com/page/4VJPW992E8.jpg)

静的なHTML+API
• サーバサイドではHTMLを生成しない
• スマホ用アプリとWebでバックエンドを共通化
• Single Page Applicationsの台頭
• JSON等のAPIのみのレスポンス
• 脆弱性検査する側
• 「ページ単位」でのボリューム管理の破たん
• 反射型、蓄積型XSSの根絶
• もちろんSQLインジェクションなども存在しない


# Page. 5

![Page Image](https://bcdn.docswell.com/page/L2EV8MMXEQ.jpg)

コンパイルされたJS
• AltJS、Closure Compiler等の利用
• TypeScript、CoffeeScript、JSX
• Closure Compiler - オートエスケープ
• 脆弱性検査する側
• minifyされたJavaScriptが読めない
• 使用された言語上での注意すべき点がわからない


# Page. 6

![Page Image](https://bcdn.docswell.com/page/Z57G5GGR7L.jpg)

MV*、データバインディング
• MVVM、MVCフレームワークの利用
• Vue.js、AngularJSなど
• 生でDOMを触らない
• HTMLへのデータバインディング機構
• 脆弱性検査する側
• DOM-based XSSさえ発生しにくい
• コードが読めない
• 使用されたフレームワークでの注意すべき点がわか
らない
(AngularJSでのカスタムディレクティブなど)


# Page. 7

![Page Image](https://bcdn.docswell.com/page/V4EQZXXYEP.jpg)

Virtual DOM
• Reactに代表されるDOM操作の革命
• JS Objとして仮想的なDOM構造を持つ
• JS ObjからDOMへの一方的な吐き出し
• 脆弱性検査する側
• DOM-based XSSはほとんど根絶
• コードが読めない
• 見るべき項目が分からない


# Page. 8

![Page Image](https://bcdn.docswell.com/page/DKJ4366Z71.jpg)

いまどきのWeb開発
• 脆弱性検査する側
• 言語やフレームワークごとの注意すべき点というの
がわからない
• そもそもコードが読めない
• 従来の脆弱性は原理上ほとんど発生し得ない
• どういう観点で検査をすればいいのかわからない


# Page. 9

![Page Image](https://bcdn.docswell.com/page/PLE11VVDEG.jpg)

よくある意見
「全員がそういう開発手法ではない」


# Page. 10

![Page Image](https://bcdn.docswell.com/page/8GEW8LL8J2.jpg)

「全員がそういう開発手法ではない」
• 「従来からの開発手法が大半だから、そういう
開発者のために、これまで通りの検査が必要」
• それって「ただのツールが使えない人」だよね
• 新しい開発手法ならそもそも脆弱性が発生しな
い
• セキュリティ向上のためには新しい手法を広め
るほうが意義があるのでは


