セキュリティ対策リスト

[riii111]

セキュリティ対策チェックリスト

認証・認可

• セッション管理+CSRF対策 #31

  • セッション管理
    • セキュアなセッションID生成
    • セッションタイムアウトの設定
    • セッションの暗号化
  • CSRF対策
    • トークンの生成と検証
    • Double Submit Cookie Pattern の実装

• パスワードセキュリティ

  • 適切なハッシュ化（bcrypt）
  • パスワード強度のバリデーション

HTTPセキュリティヘッダ

• Secure Headers の設定 #30
  • X-Frame-Options
  • X-Content-Type-Options
  • X-XSS-Protection
  • Content-Security-Policy
  • Strict-Transport-Security
    github.com/unrolled/secureで対策可能。

入力検証

• バリデーション #28
  • フォーム入力の検証
  • ファイルアップロードの制限
  • SQLインジェクション対策
• サニタイズ #29
  • XSS対策
  • HTMLエスケープ

アクセス制御

• レート制限 "github.com/ulule/limiter/v3" #27

  "github.com/ulule/limiter/v3"

• IPホワイトリスト/ブラックリスト
• アクセスログの記録 #32

エラーハンドリング

• セキュアなエラーメッセージ
• 本番環境でのスタックトレース非表示
• ログローテーション

データベースセキュリティ

• パラメータ化クエリの使用
• 最小権限の原則
• データベース接続の暗号化

監視・ロギング

• セキュリティイベントのログ記録
• 異常検知
• 監査ログの保管

[riii111]

実装の優先順位

1. セッション管理の改善（gin-contrib/sessionsの導入） + CSRFの実装
2. セキュリティヘッダの設定
3. レート制限の実装