安全点検 報告書会員・予約アプリ

何が起きるか

「自分のプロフィールは自分で更新できる」設定で、名前だけでなく権限の欄（role）まで書き換えられます。会員がアプリの通信を少し書き換えるだけで自分を管理者にでき、全会員の情報と管理画面を使えるようになります。会員登録は教室の招待制のため「高」としました（誰でも登録できる設定なら「緊急」です）。

確かめた方法

点検用SQLの6番で profiles.role が「ログインした人が書き換えられる」と出たため、該当の設定を確認。本番と切り離した開発用のデータベースで、会員のアカウントから自分の権限を管理者に変えられることを再現しました（本番のデータには触れていません）。

直し方

会員が自分で変えられるのは名前と画像だけにし、新しい会員の行は、登録の仕組み（トリガー）で権限を「会員」に固定して作ります。職員が権限を変える操作は、中で職員かどうかを確かめる関数に移します（管理画面の操作が止まらないように）。

-- 会員が自分で変えられるのは、名前と画像だけ
revoke insert, update on public.profiles from authenticated;
grant update (display_name, avatar_url) on public.profiles to authenticated;

直したかの確かめ方

開発環境で、会員のアカウントから権限を変えようとすると断られること。

40分これから

何が起きるか

月謝の支払い画面が、金額をブラウザから送っていました。サーバーはその金額のまま決済を作るので、通信を書き換えれば、たとえば50円で支払いを済ませられます。決済完了の通知でも、金額を確かめていません。

確かめた方法

app/api/checkout/route.ts の22行目を確認。Stripe のテスト環境で、50円の決済が「支払い済み」になることを再現しました。

直し方

金額は、会員のコースからサーバーで決めます。決済完了の通知では、金額がその月の月謝と一致し、状態が「支払い済み」であることを確かめてから記録します。

// 前：金額をブラウザから受け取っていた
unit_amount: body.amount,
// 後：会員のコースから、サーバーで価格を決める
price: PRICE_ID[member.course],

直したかの確かめ方

テスト環境で、金額を書き換えた決済が作られないこと。

2時間これから

何が起きるか

体験申込の一覧（管理画面）が、申込者の名前をそのまま画面に組み込んでいます。名前の欄に命令を仕込んで申し込まれると、職員が一覧を開いたときにその命令が動き、職員のログイン状態を悪用されるおそれがあります。

確かめた方法

components/TrialList.tsx の41行目を確認。本番と切り離した開発環境で、名前に入れた命令が、一覧を開いた時点で動くことを再現しました。

直し方

名前を文字として表示します。同じ書き方がほかに2か所あるので、あわせて直します。

// 前
<td dangerouslySetInnerHTML={{ __html: trial.name }} />
// 後（文字として表示される）
<td>{trial.name}</td>

直したかの確かめ方

開発環境で、命令入りの名前が文字のまま表示されること。

30分これから

何が起きるか

開発中の画面（プレビュー）のURLに保護がかかっておらず、本番のデータベースにつながっています。URLが漏れると、作りかけで確認の甘い画面から本番のデータを触られます。

直し方

Vercel のプレビューの保護（Deployment Protection）をオンにし、プレビューは開発用のデータベースにつなぎます。

30分これから

何が起きるか

部品（npm）に、公表済みの弱点が6件（うち重要度「高」が2件）ありました。このアプリの使い方では、外から直接突ける経路は見つかりませんでしたが、使い方を変えたときに穴になります。

直し方

部品を更新して、画面の動きを確かめます。

1時間これから

何が起きるか

パスワードが漏れたとき、それだけで入られてしまいます。GitHub は設定済みで、Vercel と Supabase の管理者2名が未設定でした。

直し方

それぞれのサービスの設定で、2段階認証をオンにします。

1人10分これから

何が起きるか

管理画面を見えないように別のサイトへ埋め込み、職員に気づかれないままボタンを押させる手口に使えます。

直し方

埋め込みを断る設定（HTTPヘッダーの frame-ancestors 'none'）を、next.config の headers に1行足します。

10分これから