Railsエンジニアが今更セキュリティ面での強さを学んでみた〜①Railsがセキュリティに強いって本当？〜

※この記事は私みんみんが、業務で何気なく書いてきたRailsコードのセキュリティ面での強さについて改めて学習し直した備忘録です。Railsエンジニアでセキュリティ未経験の「僕」と、セキュリティに強い「先輩」の会話形式でまとめています。（別シリーズ「英語嫌いのエンジニアがセキュリティに挑んだ話」はこちらです）
あくまで素人目線のため「具体的には違う」という説明が混じる場合がありますので、ご了承ください。

先輩とのZooMにて

僕：最近セキュリティの勉強を始めたから、いつもよりもコードが気になるようになりまして。今まで何となく書いていましたけど、Railsってセキュリティ面とかどうなってるんだろう？って思って調べたんですよ。

先輩：はいはい。

僕：そしたらRailsって、もともとセキュリティには比較的強いフレームワークらしくて。正直今までセキュリティのことをそこまで考えてなかったので、意識したこともなかったんです。

先輩：確かにRailsってよしなにやってくれてることが多いですから「何となく書いてるけどよくわからない」って感覚、わからなくもないです。

僕：ちなみにどんな攻撃に強いのかというのが、「Rails セキュリティガイド」によると…

• クロスサイトスクリプティング（XSS）
• SQLインジェクション
• クロスサイトリクエストフォージェリ（CSRF）
• セッション関連の攻撃

とかみたいですね。

先輩：では、フレームワーク上でどんなふうに対策しているのか、順番に見ていきましょうか。

僕：はい！

（次回へ続く）