drupal-security

Drupal のセキュリティ

重大なセキュリティパターン

SQL インジェクションの防止

ユーザー入力をクエリに連結することは絶対に避けてください：

// VULNERABLE - SQL injection
$query = "SELECT * FROM users WHERE name = '" . $name . "'";
$result = $connection->query($query);

// SAFE - parameterized query
$result = $connection->select('users', 'u')
  ->fields('u')
  ->condition('name', $name)
  ->execute();

// SAFE - placeholder
$result = $connection->query(
  'SELECT * FROM {users} WHERE name = :name',
  [':name' => $name]
);

XSS の防止

出力は必ずエスケープしてください。レンダーシステムを信頼してください：

// VULNERABLE - raw HTML output
return ['#markup' => $user_input];
return ['#markup' => '<div>' . $title . '</div>'];

// SAFE - plain text (auto-escaped)
return ['#plain_text' => $user_input];

// SAFE - use proper render elements
return [
  '#type' => 'html_tag',
  '#tag' => 'div',
  '#value' => $title,  // Escaped automatically
];

// SAFE - Twig auto-escapes
{{ variable }}  // Escaped
{{ variable|raw }}  // DANGEROUS - only for trusted HTML

管理者専用コンテンツの場合：

use Drupal\Component\Utility\Xss;

// Filter but allow safe HTML tags
$safe = Xss::filterAdmin($user_html);

注：信頼できないユーザー入力を #markup に渡さないでください。#plain_text、Twig の自動エスケープ、または安全なレンダー要素を優先してください。

アクセス制御

権限を必ず確認してください：

// In routing.yml
my_module.admin:
  path: '/admin/my-module'
  requirements:
    _permission: 'administer my_module'  # Required!

// In code
if (!$this->currentUser->hasPermission('administer my_module')) {
  throw new AccessDeniedHttpException();
}

// Entity queries - check access!
$query = $this->entityTypeManager
  ->getStorage('node')
  ->getQuery()
  ->accessCheck(TRUE)  // CRITICAL - never FALSE unless intentional
  ->condition('type', 'article');

CSRF の保護

フォームには CSRF トークンが自動的に含まれます。カスタム AJAX の場合：

// Include token in AJAX requests
$build['#attached']['drupalSettings']['myModule']['token'] =
  \Drupal::csrfToken()->get('my_module_action');

注：クラス内では、\Drupal::service() や \Drupal:: の直接呼び出しよりも、依存性注入を優先してください。

// Validate in controller
if (!$this->csrfToken->validate($token, 'my_module_action')) {
  throw new AccessDeniedHttpException('Invalid token');
}

ファイルアップロードのセキュリティ

$validators = [
  'file_validate_extensions' => ['pdf doc docx'],  // Whitelist extensions
  'file_validate_size' => [25600000],  // 25MB limit
  'FileSecurity' => [],  // Drupal 10.2+ - blocks dangerous files
];

// NEVER trust file extension alone - check MIME type
$file_mime = $file->getMimeType();
$allowed_mimes = ['application/pdf', 'application/msword'];
if (!in_array($file_mime, $allowed_mimes)) {
  // Reject file
}

機密データ

// NEVER log sensitive data
$this->logger->info('User @user logged in', ['@user' => $username]);
// NOT: $this->logger->info('Login: ' . $username . ':' . $password);

// NEVER expose in error messages
throw new \Exception('Database error');  // Generic
// NOT: throw new \Exception('Query failed: ' . $query);

// Use environment variables for secrets
$api_key = getenv('MY_API_KEY');
// NOT: $api_key = 'hardcoded-secret-key';

注意すべき危険なパターン

以下のパターンを見つけたら、直ちに警告してください：

パターン	リスク	修正方法
SQL 内での文字列連結	SQL インジェクション	クエリビルダーを使用する
変数を含む #markup	XSS	#plain_text を使用する
accessCheck(FALSE)	アクセス制御の回避	accessCheck(TRUE) を使用する
ルート内の _permission の欠落	不正アクセス	権限を追加する
アクセスチェックのないカスタムコントローラー	不正アクセス	ルート権限またはアクセスコールバックを追加する
Twig 内の {{ var|raw }}	XSS	|raw を削除する
ハードコードされたパスワード／キー	認証情報の漏えい	環境変数を使用する
eval() または exec()	コードインジェクション	完全に避ける
ユーザーデータに対する unserialize()	オブジェクトインジェクション	JSON を使用する
カスタムエンドポイントでの CSRF 検証の欠落	CSRF 攻撃	csrf_token サービスを使用してトークンを検証する
検証のないファイルアップロード	悪意のあるファイルのアップロード	拡張子、サイズ、MIME タイプを検証する
クラス内での \Drupal:: の直接使用	テストが困難／不適切な慣行	依存性注入を使用する
機密データのログ出力	情報漏えい	機密フィールドをマスキングするか、ログ出力を避ける