クロスサイトスクリプティング（**XSS**, Cross-Site Scripting）とは、ウェブアプリケーションにおいて、悪意のあるユーザーがスクリプト（通常はJavaScript）を他のユーザーのブラウザで実行させる攻撃手法です。この攻撃は、特に入力や出力を適切にサニタイズ（無害化）していないウェブサイトで発生します。

### XSSの基本的な仕組み
攻撃者がウェブサイトの入力フィールド（例: コメント欄、検索ボックス）にスクリプトを埋め込み、そのまま他のユーザーに対してそのスクリプトが表示されてしまう場合、他のユーザーがそのページを表示した際に、埋め込まれたスクリプトが実行されます。これにより、以下のような被害が発生します。

– **ユーザーのクッキーの窃取**: 攻撃者は、ユーザーのセッションIDやその他のクッキー情報を盗み、なりすましを行う可能性があります。
– **フィッシング攻撃の補助**: 偽のフォームやメッセージを表示し、ユーザーから機密情報を盗む。
– **ウェブサイトの改ざん**: 攻撃者がサイトの見た目を変えることで、混乱を引き起こす。

### XSSの種類
XSSには主に以下の3種類があります。

1. **Stored XSS（保存型XSS）**:
– 攻撃コードがデータベースなどに保存され、後で他のユーザーがそのデータを閲覧したときにスクリプトが実行されます。
– 例: ユーザーのコメントやプロフィール情報に悪意のあるスクリプトを埋め込む。

2. **Reflected XSS（反射型XSS）**:
– 攻撃者が作成した悪意のあるリンクをクリックさせることで、そのリンクに含まれるスクリプトがその場で実行されます。
– 例: クエリパラメータにスクリプトが含まれ、そのパラメータがレスポンス内に反映される場合。

3. **DOM-based XSS**:
– クライアントサイドのJavaScriptコードが直接ユーザー入力を処理する際に、入力がそのままDOM（Document Object Model）に反映され、スクリプトが実行される。
– 例: JavaScriptがURLのハッシュ値を解析し、そのままページの内容に反映する場合。

### 対策
– **入力のサニタイズ**: ユーザーからの入力をサニタイズし、スクリプトとして解釈されないようにする。
– **エンコード**: HTMLエンティティやJavaScriptエンコーディングを使って、出力するデータを無害化する。
– **コンテンツセキュリティポリシー (CSP)**: ブラウザに対して、スクリプトの実行を制限するポリシーを設定する。

XSSはウェブアプリケーションのセキュリティにおいて非常に重要な問題であり、開発者はこれを防ぐための適切な対策を講じる必要があります。