【Go言語】そのJSON検証、危険です！セキュリティホールと安全な対策

// pkg/utils/validation.go (脆弱性あり)

// ValidateJSON は、JSON文字列をGoの構造体に変換（デコード）します
func ValidateJSON(body string, target interface{}) error {
    // 受け取った文字列をバイト配列に変換して、Unmarshalにかけるだけ
    return json.Unmarshal([]byte(body), target)
}

type UserRequest struct {
    Username string `json:"username"`
    Password string `json:"password"`
}

{
    "username": "normal_user",
    "password": "password123",
    "admin": true,
    "role": "administrator"
}

var req UserRequest
// 攻撃者が作ったJSONを渡す
err := ValidateJSON(maliciousJSON, &req)

// なんと、エラーにならない！
// req.Username は "normal_user"
// req.Password は "password123"
// そして、"admin": true と "role": "administrator" は…
// ✨ 何事もなかったかのように、静かに無視される ✨

// TDD Red Phase: TestValidateJSON_SecurityVulnerability
func TestValidateJSON_DetectsUnknownFields(t *testing.T) {
    // この構造体に定義されていないフィールドは、すべて弾かれるべき
    type SecureStruct struct {
        Username string `json:"username"`
    }

    // 攻撃者が送りそうな、悪意のあるJSON
    maliciousJSON := `{"username": "user", "admin": true}`

    var target SecureStruct
    // 脆弱な関数で処理してみる
    err := ValidateJSON(maliciousJSON, &target)

    // 検証：
    // 本来であれば、未知のフィールド "admin" があるのでエラーになるはず！
    assert.Error(t, err, "セキュリティリスク：未知のフィールドを含むJSONが許可されてしまった")
    if err != nil {
        assert.Contains(t, err.Error(), "unknown field", "エラーメッセージに'unknown field'が含まれているべき")
    }
}

$ go test -v ./pkg/utils
--- FAIL: TestValidateJSON_DetectsUnknownFields (0.00s)
    Error Trace:    validation_test.go:123
    Error:          An error is expected but got nil.
    Messages:       セキュリティリスク：未知のフィールドを含むJSONが許可されてしまった
FAIL

// pkg/utils/validation.go (改善後)
import (
    "encoding/json"
    "fmt"
    "strings"
)

func ValidateJSON(body string, target interface{}) error {
    // 1. JSONデコーダーを作成
    decoder := json.NewDecoder(strings.NewReader(body))

    // 2. 🔑 これがセキュリティの核心！未知のフィールドを禁止する！
    decoder.DisallowUnknownFields()

    // 3. デコードを実行
    err := decoder.Decode(target)
    if err != nil {
        // エラーメッセージをより分かりやすくする
        if strings.Contains(err.Error(), "unknown field") {
            return fmt.Errorf("バリデーションエラー: JSONに未知のフィールドが含まれています: %w", err)
        }
        return fmt.Errorf("JSONデコードエラー: %w", err)
    }

    // 4. 念のため、JSONの後に余分なデータがないかもチェック
    if decoder.More() {
        return fmt.Errorf("バリデーションエラー: 正しいJSONの後に追加のデータがあります")
    }

    return nil
}

$ go test -v ./pkg/utils
PASS
ok      poc-cognite/pkg/utils   0.004s

func BenchmarkValidateJSON_Comparison(b *testing.B) {
    validJSON := `{"username": "testuser", "password": "password"}`
    type User struct { Username, Password string }

    b.Run("旧実装: Unmarshal", func(b *testing.B) {
        for i := 0; i < b.N; i++ {
            // ... 旧実装のコード ...
        }
    })

    b.Run("新実装: Decoder (Strict)", func(b *testing.B) {
        for i := 0; i < b.N; i++ {
            var u User
            ValidateJSON(validJSON, &u)
        }
    })
}

# 結果は環境によりますが、一例です
BenchmarkValidateJSON_Comparison/旧実装:_Unmarshal-8         1000000     1150 ns/op
BenchmarkValidateJSON_Comparison/新実装:_Decoder_(Strict)-8   1250000     980 ns/op