セキュリティ・コード品質レビュー報告書（サンプル）

概要

契約詳細の取得APIにテナント（管理会社）の検証がなく、リクエスト中の契約IDを別テナントのものに書き換えると、他社の契約情報が取得できてしまう、という架空の想定です。

再現手順（架空例）

1. 管理会社Aのアカウントでログインし、任意の契約詳細画面を開く
2. リクエストのURLに含まれる contractId を、管理会社Bが所有する契約IDに書き換える
3. レスポンスに管理会社Bの契約情報（入居者名・家賃等）が含まれることを確認する

該当箇所（架空のサンプルコード）

GET /api/contracts/:id のハンドラ — 所属テナントの検証なし

// 架空のサンプルコードです（実在のコードではありません）
export async function GET(req, { params }) {
  const contract = await db.contract.findUnique({
    where: { id: params.id },
  });
  return NextResponse.json(contract);
}

修正提案（架空のサンプルコード）

// 修正案（架空のサンプルコードです）
export async function GET(req, { params }) {
  const tenantId = await getTenantIdFromSession(req);
  const contract = await db.contract.findFirst({
    where: { id: params.id, tenantId },
  });
  if (!contract) {
    return NextResponse.json({ error: "Not Found" }, { status: 404 });
  }
  return NextResponse.json(contract);
}

概要

外部決済APIのキーが、クライアント側に露出する環境変数（NEXT_PUBLIC_ 接頭辞）で管理されており、ビルド後のJSバンドルに平文で含まれてしまう、という架空の想定です。

該当箇所（架空のサンプルコード）

環境変数定義

// .env（架空のサンプルです）
NEXT_PUBLIC_PAYMENT_API_KEY=sk_live_xxxxxxxxxxxxxxxx

クライアントコンポーネントでの参照

// 架空のサンプルコードです
const key = process.env.NEXT_PUBLIC_PAYMENT_API_KEY;
fetch("https://payment.example.com/charge", {
  headers: { Authorization: `Bearer ${key}` },
});

修正提案（架空のサンプルコード）

// 修正案（架空のサンプルです）
// .env: PAYMENT_API_KEY=sk_live_xxxx （NEXT_PUBLIC_ を外し、サーバー専用にする）

// app/api/charge/route.ts — サーバー側のみでキーを参照
export async function POST(req) {
  const key = process.env.PAYMENT_API_KEY; // サーバー環境変数
  // ここで決済APIを呼び出す。クライアントは /api/charge を叩くのみ
}

概要

部屋検索APIの検索パラメータにバリデーションがなく、不正な値を渡した際のエラーで、内部のスタックトレースがそのままレスポンスに露出してしまう、という架空の想定です。

該当箇所（架空のサンプルコード）

// 架空のサンプルコードです
app.get("/api/units/search", async (req, res) => {
  const rooms = await db.query(
    `SELECT * FROM units WHERE floor = ${req.query.floor}`
  );
  res.json(rooms);
});

修正提案（架空のサンプルコード）

// 修正案（架空のサンプルです）
app.get("/api/units/search", async (req, res) => {
  const parsed = z.coerce.number().int().safeParse(req.query.floor);
  if (!parsed.success) {
    return res.status(400).json({ error: "invalid parameter" });
  }
  try {
    const rooms = await db.unit.findMany({ where: { floor: parsed.data } });
    res.json(rooms);
  } catch (e) {
    logger.error(e); // スタックトレースはログのみに出力し、レスポンスには含めない
    res.status(500).json({ error: "internal error" });
  }
});