axios セキュア使い方 チェックリスト 2026｜SSRF・タイムアウト・CSRF・interceptor の落とし穴 12 項目

axios の連続 CVE は「ライブラリ側のバグ」だが、企業システムでの実害の半分以上は「使い方のバグ」が原因だ。 SSRF を防ぐ baseURL 設計、timeout 未設定の連鎖障害、interceptor でトークンが第三者ドメインに漏れる事故――これらは axios のバージョン更新では防げない。本記事では、コードレビューで即使える 12 項目チェックリストを実コード例付きで提示する。

---

目次

1. チェックリスト 12 項目 概要
2. SSRF 対策（baseURL／allowAbsoluteUrls）
3. timeout 設定（接続／レスポンス／総時間）
4. CSRF トークン送信の正しい設計
5. interceptor のトークン漏洩リスク
6. proxy 設定の罠
7. redirect の自動追従を制御する
8. JSON 解析と Prototype Pollution
9. エラーハンドリングと情報漏洩
10. コードレビュー用 12 項目チェックリスト
11. よくある質問（FAQ）

---

チェックリスト 12 項目 概要

---

SSRF 対策

NG パターン（ユーザー入力を baseURL/url に直結合）

const userUrl = req.body.targetUrl;
const res = await axios.get(userUrl);

外部ユーザーが http://169.254.169.254/latest/meta-data/ を渡すと AWS メタデータエンドポイントに到達。

OK パターン（allowlist + 絶対 URL 拒否）

const ALLOWED = ['https://api.partner1.example', 'https://api.partner2.example'];
const targetBase = ALLOWED.find(b => userUrl.startsWith(b));
if (!targetBase) throw new Error('Forbidden host');

const client = axios.create({
  baseURL: targetBase,
  allowAbsoluteUrls: false,
  timeout: 10_000,
});
const res = await client.get(userUrl.replace(targetBase, ''));

---

timeout 設定

const client = axios.create({
  timeout: 10_000,
  signal: AbortSignal.timeout(15_000),
});

接続 timeout（OS レベル）とレスポンス timeout（axios レベル）と総時間（AbortSignal）の 3 段で守る。

---

CSRF トークン送信の正しい設計

<meta name="csrf-token" content="{{ csrf_token() }}">

import { camelCase } from 'lodash';

const token = document.querySelector('meta[name=\"csrf-token\"]')?.content;
const client = axios.create({
  baseURL: '/api',
  headers: { 'X-CSRF-Token': token },
  withCredentials: true,
});

xsrfCookieName / xsrfHeaderName 既定の使用は同一オリジンのみ。CDN 経由 API では meta タグからの注入が確実。

---

interceptor のトークン漏洩リスク

NG パターン（外部 URL リダイレクト時に Authorization を引き継ぐ）

client.interceptors.request.use(config => {
  config.headers.Authorization = `Bearer ${token}`;
  return config;
});

axios は redirect 時に Authorization を引き継がないが、interceptor で全リクエストに付与する設計だと、redirect 後の外部ドメイン宛にも付与される。

OK パターン（自社ドメイン限定）

client.interceptors.request.use(config => {
  const url = new URL(config.url ?? '', config.baseURL);
  if (url.hostname.endsWith('.example.com')) {
    config.headers.Authorization = `Bearer ${token}`;
  }
  return config;
});

---

proxy 設定の罠

const client = axios.create({
  proxy: {
    host: 'proxy.internal',
    port: 8080,
  },
});

NG: process.env.NODE_TLS_REJECT_UNAUTHORIZED = '0' で TLS 検証を無効化する。CI のデバッグで仕込んだまま本番に流出する事故が多発。

---

redirect の自動追従を制御する

const client = axios.create({
  maxRedirects: 5,
});

OAuth コールバックなど redirect が前提の処理では、maxRedirects: 0 + 手動制御が安全。リダイレクト URL の検証ロジックを噛ませる。

---

JSON 解析と Prototype Pollution

CVE-2026-40175 のような Prototype Pollution は、応答 JSON に __proto__ キーが含まれた時に発生。1.15.0 以上であれば既定で防御されるが、自前で JSON.parse 結果を再帰マージする処理がある場合は別途対策が必要。

const safeMerge = (target, source) => {
  for (const key of Object.keys(source)) {
    if (key === '__proto__' || key === 'constructor' || key === 'prototype') continue;
    target[key] = source[key];
  }
  return target;
};

---

エラーハンドリングと情報漏洩

NG パターン

catch (e) {
  logger.error(e.config); // request body / headers / token が全部出る
}

OK パターン

catch (e) {
  logger.error({
    url: e.config?.url,
    status: e.response?.status,
    code: e.code,
  });
}

---

retry に exponential backoff＋上限

import axiosRetry from 'axios-retry';

axiosRetry(client, {
  retries: 3,
  retryDelay: (count) => Math.min(2 ** count * 200, 2_000),
  retryCondition: (e) => axiosRetry.isNetworkOrIdempotentRequestError(e),
});

---

コードレビュー用 12 項目チェックリスト

□ 1. baseURL にユーザー入力を結合していない
□ 2. allowAbsoluteUrls: false を明示
□ 3. timeout を 5-30 秒で設定
□ 4. maxRedirects を 0-5 に制御
□ 5. maxContentLength を 10MB 以下に
□ 6. CSRF トークンを meta から注入
□ 7. interceptor の Authorization 付与をドメイン限定
□ 8. NODE_TLS_REJECT_UNAUTHORIZED を本番で無効化していない
□ 9. responseType: 'json' を明示
□ 10. error ログに request body を含めていない
□ 11. retry に exponential backoff＋上限
□ 12. axios 1.15.0 以上を使用

---

GXOの見解

セキュリティニュースは読むだけでは価値がなく、自社資産、影響判定、対応期限、経営報告に変換して初めて防御力になる。

GXOは単発診断よりも、月次の棚卸し、優先順位付け、証跡管理、改善実行までを運用化すべきだと見る。

GXOは、脆弱性診断、インシデント対応、月次運用、開発保守の改善まで接続できる形で支援します。

実務判断のポイント

この記事は、経営者、CIO、情シス、セキュリティ担当、開発責任者向けです。脆弱性管理、外部公開資産棚卸し、月次セキュリティ運用、インシデント対応を自社で進めるか、外部の専門家と整理するかを判断する材料として使えます。

GXOが重視するのは、話題性の高さよりも「自社の業務、データ、権限、予算、運用責任にどう影響するか」です。axios セキュア使い方 チェックリスト 2026｜SSRF・タイムアウト・CSRF・interceptor の落とし穴 12 項目に関する検討では、担当者だけで判断を閉じず、経営、現場、情シス、外部パートナーの役割を早い段階で分けることが重要です。

放置した場合と整備した場合の違い

導入・改善前のチェックリスト

• 対象業務、対象部門、対象データを明文化しているか
• 現在の課題を、売上機会、原価、工数、リスクのいずれかに分解しているか
• 既存システム、SaaS、Excel、手作業の依存関係を棚卸ししているか
• 例外処理、承認、差し戻し、監査証跡まで確認しているか
• 社内で判断できる範囲と外部支援が必要な範囲を分けているか
• 初期費用だけでなく、保守、運用、教育、改善費用を見積もっているか
• 成功指標を、問い合わせ数、商談数、削減時間、停止リスクなどで定義しているか
• 実装後の責任者、更新頻度、レビュー会議の持ち方を決めているか
• セキュリティ、法務、個人情報、契約条件の確認ポイントを洗い出しているか
• 既存の問い合わせ、商談、障害、運用ログから優先順位を決めているか
• 経営判断に必要な資料を1枚で説明できる状態にしているか
• 次の90日で検証する範囲と、やらない範囲を明確にしているか

GXOの実務補足

セキュリティニュースは読むだけでは価値がなく、自社資産、影響判定、対応期限、経営報告に変換して初めて防御力になる。

GXOは単発診断よりも、月次の棚卸し、優先順位付け、証跡管理、改善実行までを運用化すべきだと見る。

GXOは、脆弱性診断、インシデント対応、月次運用、開発保守の改善まで接続できる形で支援します。記事のテーマを単なる情報収集で終わらせず、相談、診断、要件定義、実装、運用改善に接続することで、診断、監査、保守契約、月次レポート、緊急対応支援へ接続。さらに、チェックリスト型診断を入口に、継続監視・改善支援へ展開。

実行までの進め方

1. 現在の業務、データ、ツール、担当者を棚卸しする
2. 売上拡大、工数削減、リスク低減のどれに効くテーマかを決める
3. 初期対応、90日以内の改善、半年以上の投資を分ける
4. 必要な社内体制、外部支援、予算、セキュリティ確認を整理する
5. 小さく検証し、効果測定後に本番化や横展開を判断する

よくある質問（FAQ）

Q. 既存コード 100 callsite で 12 項目全部レビューするのは現実的？ A. 12 項目のうち 1-3／6／8／12 は grep で 30 分以内に網羅可能。7／10／11 はコードレビュー必須。1 callsite あたり平均 3 分で 100 callsite で 5 時間が目安。

Q. axios.create() を使い回す設計と都度 new する設計、どちらが安全？ A. interceptor／timeout／allowlist を一元管理する観点で、axios.create() を 1 箇所で生成して export する設計が安全。

Q. axios-retry はどのくらい広く採用されている？ A. axios-retry の週次ダウンロード数は 200 万超（2026 年 4 月時点）、企業システムでもデファクト。retry 自前実装より低リスク。

---

参考資料

• axios 公式ドキュメント Security Best Practices
• OWASP API Security Top 10 2023
• IPA「Web アプリケーション開発における脆弱性対策」2024 年版

---

社内コードレビュー基準への組込みやセキュリティ自動化（grep ルール／Lint 規約）の整備は、GXO のセキュリティ運用支援サービスで支援可能です。

GXO実務追記: サイバーセキュリティで発注前に確認すべきこと

この記事のテーマは、単なるトレンド紹介ではなく、自社で最初に塞ぐべきリスク、外部診断の範囲、初動体制を決めるための検討材料です。検索で情報収集している段階でも、発注前に次の観点を整理しておくと、見積もりのブレ、手戻り、ベンダー依存を減らせます。

まず決めるべき3つの論点

費用・期間・体制の目安

発注前チェックリスト

• 重要システムと個人情報の所在を棚卸ししたか
• VPN、管理画面、クラウド管理者の多要素認証を必須化したか
• バックアップの世代数、復旧時間、復旧訓練の実施日を確認したか
• 脆弱性診断の対象をWeb、API、クラウド、社内ネットワークに分けたか
• EDR/MDR/SOCの必要性を、監視できる人員と照らして判断したか
• インシデント時の連絡先、意思決定者、広報/法務/顧客対応を決めたか

参考にすべき一次情報・公的情報

• IPA 情報セキュリティ
• JPCERT/CC
• NISC
• OWASP Top 10
• NIST Cybersecurity Framework

上記の一次情報は、社内稟議やベンダー比較の根拠として使えます。一方で、公開情報だけでは自社の現行システム、業務フロー、データ状態、予算制約までは判断できません。記事で一般論を把握した後は、自社条件に落とした診断が必要です。

GXOに相談するタイミング

次のいずれかに当てはまる場合は、記事を読み進めるだけでなく、早めに相談した方が安全です。

• 見積もり依頼前に、要件やRFPの粒度を整えたい
• 既存ベンダーの提案が妥当か第三者視点で確認したい
• 補助金、AI、セキュリティ、レガシー刷新が絡み、判断軸が複雑になっている
• 社内稟議で費用対効果、リスク、ロードマップを説明する必要がある
• PoCや診断で終わらせず、本番導入と運用改善まで進めたい

axios セキュア使い方 チェックリスト 2026｜SSRF・タイムアウト・CSRF・interceptor の落とし穴 12 項目を自社条件で診断したい方へ

GXOが、現状整理、RFP/要件定義、費用対効果、ベンダー比較、導入ロードマップまで実務目線で確認します。記事の一般論を、自社の投資判断に使える形へ落とし込みます。

セキュリティ初期診断を相談する

※ 初回相談では営業資料の説明よりも、現状・課題・判断材料の整理を優先します。

参考情報

• 制度、価格、仕様、脆弱性、法務、セキュリティに関する判断は、公開時点の公式情報と一次情報を確認したうえで更新してください。