--- sidebar_label: "セキュリティ概要" title: "セキュリティ概要 - CyberGo html | セキュリティ防護総覧" description: "CyberGo html セキュリティ機能の概要：入力サイズ制限、DOM 深度制限、パストラバーサル防御、パニックリカバリ、処理タイムアウト、コンテンツサニタイズクリーニング、プラグイン監査パイプラインによる縦深防御アーキテクチャを網羅します。" sidebar_position: 1 --- # セキュリティ概要 HTML ライブラリはインターネットからの信頼できない入力を処理するため、設計上セキュリティを最優先としています。ライブラリは複数層の独立した防護メカニズムを内蔵し、**縦深防御**の理念に従います：各層は他の層が失敗する可能性を前提とし、単一層の迂回が全体の陥落につながりません。 本ページはセキュリティ機能の総覧です。監査パイプラインの設定や本番チェックリストの確認をすぐに行いたい場合は、末尾の[次のステップ](#次のステップ)にジャンプしてください。 ## 縦深防御アーキテクチャ ライブラリのセキュリティ防護は 3 つの独立した階層に分散しており、各層に独自の失敗モードとリカバリ戦略があります： ```text 入力層防護（フィルタ前に拒否） ├── MaxInputSize バイトレベルのサイズ上限（デフォルト 50MB） ├── MaxDepth DOM ネスト深度上限（デフォルト 500、スタックオーバーフロー防止） ├── ProcessingTimeout 単一ドキュメント処理タイムアウト（デフォルト 30s） ├── パストラバーサル検出 ファイルパスの .. コンポーネント └── AllowedBaseDir ファイル読み取りサンドボックス（OS ハンドル解決、symlink/junction 防止） 処理層防護（サニタイズとキャンセル） ├── HTML サニタイズ タグ / 属性 / URL / CSS の多角的フィルタリング ├── 協調的 context キャンセル ExtractWithContext が ctx.Done() に応答 ├── Panic リカバリ recoverPanic ジェネリックラップ、ErrInternalPanic を返す └── Goroutine リーク防護 maxTimeoutGoroutines（上限 1000） 監査層防護（可観測性 + 分離） ├── AuditSink panic 分離 SEC-003（監査サブシステムは best-effort） ├── 8 種の監査イベント blocked_tag/blocked_attr/blocked_url/... └── 原始値の HTML エスケープ 監査ログが SIEM ダッシュボードで XSS をトリガーするのを防止 ``` :::tip なぜ「独立」を強調するのか 縦深防御の価値は階層間に結合の仮定がないことにあります。例えば、サニタイズ層が悪意のある URL を見逃しても（処理層の失敗）、入力層の `MaxInputSize` が超長ペイロードをブロックします。AuditSink 自身が panic しても（監査層の失敗）、`recoverPanic` が主フローがクラッシュしないことを保証します。 ::: ## 入力境界防護 ### 入力サイズ制限 デフォルトの最大入力は 50MB（`DefaultMaxInputSize`）で、メモリ枯渇攻撃を防止します。設定上限は同時に `maxConfigInputSize` で拘束され（同じく 50MB）、設定で安全でない値に拡大することはできません： ```go cfg := html.DefaultConfig() cfg.MaxInputSize = 10 * 1024 * 1024 // 10MB に厳格化 ``` ファイルパスにはさらに**予備チェック**があります：`Stat` でサイズを取得した後、`ReadAll` でコンテンツをメモリにロードする前に超過ファイルを拒否し、「読み切ってから超過に気づく」メモリピークの窓を閉じます。 ### DOM 深度制限 デフォルトの最大深度は 500（`DefaultMaxDepth`）で、再帰ネストで構成されたスタックオーバーフロー爆弾を防止します： ```go cfg.MaxDepth = 200 // より厳格に ``` 深度検証は再帰ではなく**反復式**トラバーサルを採用しており、入力のネストが深すぎてもスタックオーバーフローしません。 ### 処理タイムアウト 設定可能な処理タイムアウトで、悪意のある HTML が指数関数的処理時間を引き起こすのを防止します： ```go cfg.ProcessingTimeout = 10 * time.Second ``` タイムアウトメカニズムは独立 goroutine + context deadline で実装され、`maxTimeoutGoroutines`（1000）上限で保護され、高並行下での goroutine 暴走を防止します。`ExtractWithContext` と組み合わせることで呼び出し元のキャンセル信号を重ね合わせできます。 ## コンテンツサニタイズメカニズムの詳細 サニタイズ機能は `EnableSanitization`（デフォルト `true`）で制御され、解析済み DOM ツリーに対してインプレース修正を行い、潜在的に悪意のあるコンテンツを除去します。全体のフローは `internal/sanitize.go` で実装され、各ステップのブロックは監査ログに書き込まれます。 :::warning いつサニタイズを無効化するか 入力が**完全に信頼できる**内部データの場合のみ `EnableSanitization = false` を検討してください。ユーザーアップロード、ウェブスクレイピング、サードパーティ API からの HTML を処理する場合は常に有効にすべきです。 ::: ### 除去されるタグ 以下のタグは子ツリーとともに全体が除去されます： | タグ | 除去理由 | |------|----------| | `