bitrix-security

セキュリティ

基準：main 23.0+ · 検証済み：main 26.800.0

一般的なデフォルト設定（スーパーグローバルを使わない、デフォルトのプリフィルターを維持する、出力をエスケープする）は bitrix-framework にあります。

タスク	参照先
CSRF、エスケープ、HTML のサニタイズ、リンクとリダイレクト先、raw HTML の出力箇所	rules/csrf-xss.md
SQL インジェクション（raw、ORM、ExpressionField）、SSRF、ローカルファイル、アップロード、保存済み設定	rules/sql-ssrf.md
権限チェック、#[ActionAccess]、REST スコープ、JWT/JWK、暗号化、2FA	rules/jwt-crypto-access.md

不変条件

• 信頼できないデータ：リクエストデータに加え、DB に保存された設定、インポートデータ、REST ペイロードも含まれます。エンティティの型と所有者は、リクエストではなく、必ず DB レコードから取得します。
• SQL 構造になるもの（フィールド名、演算子、関数、order キー）は、出所を問わずすべてホワイトリストで制限します。
• 出力コンテキストに合わせてエスケープします：HTML は htmlspecialcharsbx()、JS は Json::encode()、URL はスキームの許可リストを通します。
• ユーザー入力を未検証のまま CFile::MakeFileArray()、file_get_contents()、unserialize()、リダイレクト先に渡してはいけません。
• Authentication/Csrf フィルターは認可を行いません。各アクションで対象オブジェクトの権限をチェックします。