開発の「守護神」をインストールせよ：ESLintで防ぐ、コードに潜む罠
こんにちは。現場で長くコードを書き続けていると、ある事実に気づかされます。「バグや脆弱性は、完成した後に探すのではなく、書いている瞬間にブロックするものだ」と。
コードを書くとき、私たちはつい「動くこと」を優先してしまいます。しかし、プロフェッショナルな開発環境では、ESLintがあなたの背後で常に監視し、危険なコードを書きそうになった瞬間に警告を発する仕組みが不可欠です。
今回は、単なるフォーマット修正ツールとしてではなく、「セキュリティの守護神」としてESLintを運用するための、現場の知恵を伝授します。
—
1. なぜ「静的解析」でセキュリティを担保するのか？
多くのエンジニアが陥る罠は、「コードが動くから安全」だと誤解することです。しかし、`eval()` の使用や、脆弱性のあるライブラリの利用は、完成後にテストで発見しようとしても非常にコストが高くつきます。
ESLintの静的解析は、「コードが実行される前」に構文木（AST）を解析し、「この書き方は危険だ」というパターンを弾き飛ばします。これをCI/CDパイプラインに組み込めば、脆弱性が世に出ることは物理的に不可能になります。
—
2. 実戦導入：セキュリティ特化型ESLintのセットアップ
まずは、標準的な環境に「セキュリティ」というスパイスを加えます。
必要パッケージのインストール
以下のコマンドで、脆弱性検出に特化したプラグインをインストールします。
ESLint本体と、セキュリティルールセットのインストール
npm install –save-dev eslint eslint-plugin-security
`.eslintrc.json` の設定
ここが「守護神」の心臓部です。ただ導入するだけでなく、「危険な書き方を即座にエラー（error）にする」というポリシーを明示します。
{
“plugins”: [“security”],
“extends”: [
“eslint:recommended”,
“plugin:security/recommended”
],
“rules”: {
// eval()の使用は即座に停止（セキュリティの基本）
“no-eval”: “error”,
// 意図しない正規表現によるReDoS（正規表現DoS）攻撃をブロック
“security/detect-unsafe-regex”: “error”,
// 危険なノードAPI（child_process等）の不用意な利用を監視
“security/detect-child-process”: “warn”
}
}
—
3. 「現場の知恵」：ブラックリストAPIの強制ブロック
大規模プロジェクトでは、特定の関数（例えば古い暗号化ライブラリや、セキュリティホールが報告されている関数）の使用を「全社的に禁止」したい場面があります。
そんな時、`no-restricted-properties` というルールが驚くほど役立ちます。
“rules”: {
“no-restricted-properties”: [
“error”,
{
“object”: “crypto”,
“property”: “createCredentials”,
“message”: “この関数は脆弱です。代わりに最新のcrypto.createSecureContextを使用してください。”
}
]
}
なぜこれが必要か？
チームメンバー全員が最新のドキュメントを読んでいるとは限りません。コードレビューで「これ古いよ」と指摘する時間をゼロにし、「書いた瞬間にエラーが出て、メッセージで代替案が表示される」環境を作る。これが生産性を劇的に向上させるアーキテクチャの極意です。
—
4. HelloWorld：動作確認
実際に、意図的に「危険なコード」を書いてみましょう。
// 危険なevalの使用
eval(“const x = 1;”);
このファイルを保存した瞬間、IDEやCLI上に以下のようなメッセージが表示されるはずです。
/src/index.js
1:1 error eval() is not allowed no-eval
✖ 1 problem (1 error, 0 warnings)
これが「守護神」の力です。開発者はこの指摘を見て、「ああ、ここは別の方法を考えよう」と、その場で最適解を選択できます。
—
最後に：ツールを「教育」に変える
技術的なセットアップは通過点に過ぎません。真の目的は、「ESLintの設定ファイルを読むだけで、チーム全員がセキュリティ意識を高められる」という状態を作ることです。
「なぜエラーが出るのか？」がわかるメッセージを添えることで、静的解析ツールは単なる監視役から、「チームの知識を底上げするメンター」へと進化します。
この環境を構築すれば、あなたの書くコードは明日から、これまでとは比較にならないほど堅牢で美しいものになるでしょう。ぜひ、今日からあなたのプロジェクトにこの「守護神」を迎え入れてください。何か不明な点があれば、いつでも聞きに来てくださいね。