JSON クロスサイトスクリプティング保護チェック

最終公開日 : Sep 25, 2026
受信した JSON ペイロードに悪意のあるクロスサイトスクリプティングデータが含まれていると、WAF はリクエストをブロックします。次の手順では、CLI および GUI インターフェイスを使用してこれを設定する方法について説明します。
Related information

JSON クロスサイトスクリプティング保護の設定

JSON クロスサイトスクリプティング保護を設定するには、次の手順を完了する必要があります。
  1. アプリケーションファイアウォールプロファイルを JSON として追加します。
  2. JSON クロスサイトスクリプティングアクションを設定して、クロスサイトスクリプティングの悪意のあるペイロードをブロックする

JSON タイプのアプリケーションファイアウォールプロファイルの追加

最初に、アプリケーションファイアウォールが JSON Web コンテンツを JSON クロスサイトスクリプティング攻撃から保護する方法を指定するプロファイルを作成する必要があります。
コマンドプロンプトで入力します：
add appfw profile <name> -type (HTML | XML | JSON)
注記:
プロファイルタイプを JSON に設定すると、HTML や XML などの他のチェックは適用されません。

例

add appfw profile profile1 –type JSON
JSON クロスサイトスクリプティング違反のサンプル出力
JSONcross-site scriptingAction: block log stats
Payload: {"username":"<a href="jAvAsCrIpT:alert(1)">X</a>","password":"xyz"}

Log message: Aug 19 06:57:33 <local0.info> 10.106.102.21 08/19/2019:06:57:33 GMT  0-PPE-0 : default APPFW APPFW_JSON_cross-site scripting 58 0 :  10.102.1.98 12-PPE0 - profjson http://10.106.102.24/ Cross-site script check failed for object value(with violation="Bad URL: jAvAsCrIpT:alert(1)") starting at offset(12). <blocked>

Counters
   1  357000                  1 as_viol_json_xss
   3  0                       1 as_log_json_xss
   5  0                       1 as_viol_json_xss_profile appfw__(profjson)
   7  0                       1 as_log_json_xss_profile appfw__(profjson)

JSON クロスサイトスクリプティングの設定アクション

JSON クロスサイトスクリプティング攻撃からアプリケーションを保護するには、1 つ以上の JSON クロスサイトスクリプティングアクションを設定する必要があります。 コマンドプロンプトで入力します：
set appfw profile <name> - JSONcross-site scriptingAction [block] [log] [stats] [none]

例

set appfw profile profile1 –JSONcross-site scriptingAction block
使用可能なクロスサイトスクリプティングアクションは、「 ブロック-このセキュリティチェックに違反する接続をブロックする」です。 Log - このセキュリティチェックの違反を記録します。 Stats-このセキュリティー検査の統計を生成します。 -このセキュリティー検査に対するすべてのアクションを無効にします。
注: 1 つまたは複数のアクションを有効にするには、「appfw プロファイルの設定-JsonCrosssite ScriptingAction」と入力し、続けて有効にするアクションを入力します。

例

set appfw profile profile1 -JSONSQLInjectionAction block log stat

Citrix GUIを使用してJSONクロスサイトスクリプティング（クロスサイトスクリプティング）保護を構成する

以下の手順に従って、クロスサイトスクリプティング (クロスサイトスクリプティング) 保護を設定します。
  1. ナビゲーションペインで、 > に移動します。
  2. 「 プロファイル 」ページで、「 追加」をクリックします。
  3. Citrix Web App Firewallプロファイルページで 、「 詳細設定 」の「 セキュリティチェック」をクリックします。
  4. セクションで、 に移動します。
  5. チェックボックスの近くにある実行可能アイコンをクリックします。
  6. をクリックして、** ページにアクセスします。
  7. JSON クロスサイトスクリプティングアクションを選択します。
  8. ［OK］ をクリックします。
  9. ［Citrix Web App Firewall プロファイル ］ページで、［ 詳細設定 ］の［ 緩和ルール］をクリックします。
  10. セクションで を選択し、 をクリックします。
  11. ページで、 をクリックして JSON クロスサイトスクリプティング緩和ルールを追加します。
  12. リクエストの送信先の URL を入力します。この URL に送信されたすべてのリクエストはブロックされません。
  13. ［Create］ をクリックします。