サーバに届かない経路 — フラグメントとシンク

このコースでは、「本人が望んだか」はサーバが自分で確かめるしかない、と見てきました。ただしサーバが確かめられるのは、要求に載って届いたものだけです。URL の中に、載らない部分があります。

RFC 3986 §3.5 はフラグメントを # から URI の末尾までと定め、参照を解決する前に切り離すと書きます。

the fragment identifier is separated from the rest of the URI prior to a dereference, and thus the identifying information within the fragment itself is dereferenced solely by the user agent, regardless of the URI scheme.

RFC 9110 §7.1 は HTTP の側から言い直します。

The target URI excludes the reference's fragment component, if any, since fragment identifiers are reserved for client-side processing ([URI], Section 3.5).

「サーバーには送信されない」は既存クイズの結論と同じです。本回が使うのは、§17.11 の冒頭の後半です。

Although fragment identifiers used within URI references are not sent in requests, implementers ought to be aware that they will be visible to the user agent and any extensions or scripts running as a result of the response.

サーバには届かないが、応答の結果として動くスクリプトには見える。 値を観測できる場所と、値が使われる場所が分かれています。

OWASP の DOM based XSS Prevention Cheat Sheet は、XSS を値が埋め込まれる場所で分けます。

Reflected and Stored XSS are server side injection issues while DOM based XSS is a client (browser) side injection issue.

ブラウザの中で埋め込まれるなら、効くのはブラウザの中の対策です。Trusted Types の §2.1(非規範の解説節)は、その場所をシンクと呼びます。

An injection sink is a powerful Web API function that should only be called with trusted, validated or appropriately sanitized input.

続けて、シンクに渡る文字列は do not carry the information about their provenance(出自の情報を持たない)と書きます。フラグメントから来た文字列も自分で書いた定数も、シンクの前では同じ文字列です。

『1行のHTMLが画面に出るまで』の「JSが割り込む」回で、innerHTML は同じ HTML パーサを呼び、入れた <script> は評価されないことを見ました。それでも §2.1.1 は Element.innerHTML を HTML parsing sinks に数えています。script が走らないことと、シンクでないことは別です。

直す場所もシンクです。OWASP の RULE #7 は The best way to fix DOM based cross-site scripting is to use the right output method (sink). と書き、既存クイズも表示には textContent を選びます。Trusted Types は、危険なシンクに素の文字列を渡せなくする API です(lock down injection sinks to only accept non-spoofable, typed values in place of strings)。Chrome 83・Firefox 148・Safari 26.0 が対応を告知しています。