JavaScript textareaに入力された値を処理する際のセキュリティーについて

Question

今回はユーザーがテキストエリアに入力した値を処理する際に気をつけるべきことを知っておきたいので質問させて頂きます。
入力された値はサーバーへのPOSTなど行わず、フロントエンドのみで実行されるJavaScriptのプログラムを想定しています。

function test()
{
    const textarea = document.querySelector("textarea");
    textarea.addEventListener("change", check, false);

    function check()
    {
        // テキストエリアに入力された値
        // ここからどのような攻撃が行われるのか？
        const t = textarea.value;
        alert(t);
    }
}

テキストエリアへ値を入力するのはユーザー自身なので、POSTも行わないのであれば特段気にすることもないと考えていました。
しかしその値が他人から渡された悪意のあるコードだった場合は...？
どのような危険が想定されるか知りたいです。お時間のある方回答をお願いします。

Comments

[m.ts10806]

JavaScript（CSS,HTMLも）は改ざん可能なのはご存知ですか？

[gucha]

ユーザーが開発者ツールなどで意図して変更できるのは理解しているつもりです。
サーバー側を変更せずに別クライアントの内容も改ざんできるのであれば知っておきたいです。

Answer 1

今やログインした状態でもサービスも多いです。

ユーザーが他人から渡された悪意のあるコードを実行してしまった場合、ユーザーのブラウザに保存されているクッキーやセッションなどが抜き取られる可能性があります。なので、いわゆるなりすましのようなことが起きる危険があると考えられます。

一般的に、プログラムが実行できる環境をユーザー側に持たせておくのは危険だと考えられます。
facebookなどのサイトで、ディベロッパーツールでコンソール開くと、警告が出ているのもこういったためです。

Answer 2

しかしその値が他人から渡された悪意のあるコードだった場合は...？

このコードの場合は、何が来てもただalertするだけなので、全く問題ありません。

Comments

[maisumakun]

提示するコードも、現実に行う処理に即したコードにしていただければと思います。

Answer 3

どのような危険が想定されるか

DOM操作（フロント側レンダリングに相当）できる状況を与えると、いわゆる改ざん可能な状況になります。
職場によっては共用マシンとなる事例もあるでしょうし、図書館やネットカフェなど「不特定多数が使える生活環境下の端末」では、omori3 さんの指摘するリスクがあります。

ユーザー自身なので、POSTも行わないのであれば特段気にすることもない

セキュリティ問題を考えるなら、実際の生活環境は広範に考える必要があります。

【追記】上記「ネットカフェ」の場合は、端末の再起動でキャッシュ等を削除する仕組みだそうですが、「図書館」や「職場」だとどうでしょう。

本題とは関係ありませんが、コンピュータ関連の問題を考えるのに コンピュータウィルス が分かりやすい（感染経路にはスニーカーネットというのもあります）。

フロントエンドのみで実行されるJavaScriptのプログラムを想定

ポジティブに考えると「プレイグランド系サービス」のようなものが思い浮かびましたが、これらのサービスはエラーやリスクを捕捉する仕組み（HTML/CSS/JavaScript の各コードチェックする仕組み）を十分に考えて実装されたサービスだと思いますよ。