デベロッパーツールについて

Question

webサイトのデベロッパーツールを見れば、html、JavaScriptのソースが全て見れるのですが、それはセキュリティ的に大丈夫なんですか？

ハッキングの危険がありそうで怖いです

Answer 1

他の方の回答がすでにあるように、JavaScriptは利用者からは閲覧できるという前提でセキュリティ設計がされていますし、JavaScriptのスクリプトを作る側も、ソースコード公開を想定してプログラミングする必要があります。

具体的には、以下の2つのケースにて脅威を想定します。

1.　サイト利用者が自らサイトを攻撃するケース
このケースは一般的に「能動的攻撃」と言われます。このケースではJavaScriptによるチェック（値の上下限値の確認など）はセキュリティ的には効果がないので、必ずサーバー側で（も）チェックするようにします。

2.　サイト利用者とは別の第三者がサイト利用者を攻撃するケース
このケースは一般的に「受動的攻撃」と言われます。受動的攻撃については、ブラウザのセキュリティ機能（サンドボックス、同一オリジンポリシー、CORS等）と、アプリケーション側とで責任を分け合う形で対策します。アプリケーション側の責務は、「脆弱性のないアプリケーションを開発すること」です。典型的にはクロスサイト・スクリプティング（XSS）対策ですが、これ以外のCSRF等も含まれます。

「なんとなく怖い」という状態は、上記のウェブのセキュリティを理解できていないことを意味しますので、参考書などでセキュリティについて勉強していただくしかありません。

Answer 2

当然ですが、見られる前提で問題ないように設計します。
が、考慮不足で穴が空いている場合の報告もあります。

そのあたりは他の脆弱ポイントと同じですね。

Answer 3

セキュリティ対策がある程度されているサイトで見られてまずいHTML,JSはまずないでしょう。
見られてまずい部分はHTMLやJSなどのブラウザサイドの言語ではなくPHPなどのサーバーサイドの言語で処理します。