アップロードファイルの検証とは？

アップロードファイルの検証とは、利用者が送信したファイルを受け入れる際の、拡張子・実体の形式・サイズ・保存先・公開方法に関する一連の防御。実行可能なファイルを公開領域に置かせない、保存名を推測不能なサーバ側の値にする、といった設計で被害の芽を断つ。

あっぷろーどふぁいるのけんしょう

情報処理安全確保支援士試験の頻出用語／午前II

アップロードファイルの検証の意味

利用者が送信したファイルを受け入れる際の、拡張子・実体の形式・サイズ・保存先・公開方法に関する一連の防御。実行可能なファイルを公開領域に置かせない、保存名を推測不能なサーバ側の値にする、といった設計で被害の芽を断つ。

画像投稿機能で、拡張子だけでなく実データの先頭バイト列を確認し、さらに再エンコードして元データを捨てる。保存先はWebサーバの公開ディレクトリの外とし、配信は権限を確認したうえでアプリ経由で行い、Content-Typeも固定して返す。

拡張子検査は多重拡張子や大文字小文字、末尾の空白・ドットで回避される。またMIMEタイプはクライアントの申告値なので信用できない。保存できただけでは害はなく、「置かれた場所がスクリプトとして実行されるか」が実質的な分かれ目になる。

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。