---
title: "XSSとは？HTML共有・AI生成サイトでの意味をやさしく解説"
description: "静的HTMLやAI生成サイトを共有するときに知っておきたいXSSの基礎。仕組み・誤解されやすい点・具体的な対策を非エンジニアにもわかるように解説し、安全なWeb公開の判断材料を提供します。"
image: "https://giga-site.com/og-image.png"
canonical: "https://giga-site.com/articles/what-is-xss-html-share"
markdown: "https://giga-site.com/articles/what-is-xss-html-share/index.md"
category: "用語解説"
publishedAt: "2026-06-25"
updatedAt: "2026-06-25"
readingMinutes: 4
---
# XSSとは？HTML共有・AI生成サイトでの意味をやさしく解説
WebサイトをAIで生成してURLで共有するとき、「XSS」という言葉がセキュリティチェックリストに登場することがあります。意味を知らずに進めると、共有先に意図しないスクリプトを実行させてしまうリスクがあります。この記事では、XSSの仕組みをHTML共有の文脈で平易に説明し、AI生成サイトを安全に公開するための具体的な注意点を整理します。
> Source HTML: https://giga-site.com/articles/what-is-xss-html-share
> Article index: https://giga-site.com/articles/index.md
## ひとことで言うと
XSS（クロスサイトスクリプティング）とは、攻撃者が悪意あるJavaScriptコードをWebページに埋め込み、そのページを開いた別の人のブラウザで勝手に実行させる攻撃手法です。たとえばフォームの入力値をそのままHTMLに出力するページがあると、攻撃者はスクリプトタグを含む文字列を送り込み、閲覧者のCookieを盗んだり、偽のログイン画面を表示したりできます。
AI生成の静的HTMLを共有する場合、コード内に外部入力を受け取るフォームや動的なDOM操作が含まれているときにXSSが成立しやすくなります。AIが生成したコードはinnerHTMLへの直接代入や eval() 呼び出しを含むことがあるため、共有前に必ずコードレビューか自動スキャンを行うことが推奨されます。
- 相手がログインなしで開ける状態か確認する
- PCとスマホで最低1回ずつ表示を確認する
- 内部情報・個人情報・不要な外部送信が残っていないか見る
- レビュー期限と修正時の差し替え方を決めておく
## HTML共有で関係する場面
社内レビュー用にAI生成のプロトタイプページを共有URLとして配布したとき、そのURLを第三者が改ざんしたパラメータ付きで送り返すケースがあります。URLのクエリ文字列をJavaScriptでDOM反映している実装があれば、受け取り側のブラウザでスクリプトが実行されてしまいます。これを「反射型XSS」と呼び、共有リンクを踏んだ人だけが被害を受けます。
ギガサイト便のような静的ホスティング型の共有サービスを使う場合、サーバー側に動的処理がないためXSSリスクは限定的です。ただしHTMLファイル内にユーザー入力を受け取るフォーム＋JavaScript処理が含まれている場合は、ファイル単体でXSSが成立します。共有前に「JavaScriptがユーザー入力をHTMLへ直接書き込んでいないか」を確認する習慣が重要です。
## よくある誤解
「パスワード保護URLを使っているからXSSは関係ない」という誤解があります。パスワード認証はアクセスを制限するだけで、認証を通過した閲覧者のブラウザ内でスクリプトが実行されるのは防げません。認証済みユーザーのセッションやCookieが盗まれるリスクはむしろ深刻で、内部関係者限定共有でも油断は禁物です。
「HTMLファイルを自分で作っていないからXSSは入らない」という思い込みも危険です。AIが生成したコードは学習データに含まれる脆弱なコードパターンを再現する場合があります。特にinnerHTML・document.write・eval の3つが含まれていれば黄色信号として扱い、その周辺ロジックを重点的に確認してください。
## 安全に使うための注意点
AI生成HTMLをブラウザで開く前に、テキストエディタでコード全体を検索し「innerHTML」「document.write」「eval」「javascript:」の文字列が含まれていないか確認します。これらが見つかったら、どこから値を受け取っているかを追跡し、ユーザー入力由来の文字列を直接HTMLに挿入していないかチェックしてください。
共有サービス側でContent Security Policy（CSP）ヘッダーが設定されていると、インラインスクリプトの実行をブラウザレベルで制限できるため、XSSの被害を大幅に抑えられます。ギガサイト便のようにCloudflare Workersを介して配信するサービスはCSPヘッダーを付与できるので、共有先が業務用途なら設定の有無を確認しておくと安心です。
社内外へのHTML共有前にチェックすべき最低限の手順として、①外部スクリプト読み込み元の確認（httpsか、信頼できるCDNか）、②URLパラメータをDOM反映する処理の有無、③共有期限を設定して不要になったURLを無効化、の3点を行うだけでもリスクを大きく下げられます。
## よくある質問
### 静的なHTMLファイルでもXSSは起こりますか？
はい。JavaScriptがURLのクエリ文字列やハッシュ値をinnerHTMLに書き込む実装があれば、完全な静的ファイルでも反射型XSSが成立します。ファイルに動的なDOM操作が含まれるか必ず確認してください。
### AIが生成したHTMLのXSSリスクを手軽にチェックする方法はありますか？
VS CodeなどのエディタでinnerHTML・eval・document.writeをキーワード検索するだけでも有効です。より厳密にはDOMPurifyのような無害化ライブラリの利用やESLintのセキュリティプラグインによる自動検査を組み合わせると確実性が上がります。
### XSSとSQLインジェクションはどう違うのですか？
SQLインジェクションはデータベースへの不正操作を狙うサーバー側の脆弱性です。XSSはブラウザ上でスクリプトを実行させるクライアント側の攻撃で、静的HTMLサイトでも発生しうる点が大きな違いです。
## 関連記事
- [SRI（Subresource Integrity）とは？HTML共有・AI生成サイトでの意味をやさしく解説](https://giga-site.com/articles/what-is-sri-html-share/index.md)
- [Referrer-Policyとは？HTML共有・AI生成サイトでの意味をやさしく解説](https://giga-site.com/articles/what-is-referrer-policy-html-share/index.md)
- [Permissions-Policyとは？HTML共有・AI生成サイトでの意味をやさしく解説](https://giga-site.com/articles/what-is-permissions-policy-html-share/index.md)
- [Same-Origin Policyとは？HTML共有・AI生成サイトでの意味をやさしく解説](https://giga-site.com/articles/what-is-same-origin-policy-html-share/index.md)
- [sandbox付きiframeとは？HTML共有・AI生成サイトでの意味をやさしく解説](https://giga-site.com/articles/what-is-sandbox-iframe-html-share/index.md)
- [CORSプリフライトとは？HTML共有・AI生成サイトでの意味をやさしく解説](https://giga-site.com/articles/what-is-cors-preflight-html-share/index.md)
```json
{
"@context": "https://schema.org",
"@type": "Article",
"headline": "XSSとは？HTML共有・AI生成サイトでの意味をやさしく解説",
"description": "静的HTMLやAI生成サイトを共有するときに知っておきたいXSSの基礎。仕組み・誤解されやすい点・具体的な対策を非エンジニアにもわかるように解説し、安全なWeb公開の判断材料を提供します。",
"datePublished": "2026-06-25",
"dateModified": "2026-06-25",
"mainEntityOfPage": "https://giga-site.com/articles/what-is-xss-html-share",
"url": "https://giga-site.com/articles/what-is-xss-html-share",
"inLanguage": "ja",
"image": "https://giga-site.com/og-image.png",
"articleSection": "用語解説",
"author": {
"@type": "Organization",
"name": "ギガサイト便"
},
"publisher": {
"@type": "Organization",
"name": "ギガサイト便"
},
"mainEntity": [
{
"@type": "Question",
"name": "静的なHTMLファイルでもXSSは起こりますか？",
"acceptedAnswer": {
"@type": "Answer",
"text": "はい。JavaScriptがURLのクエリ文字列やハッシュ値をinnerHTMLに書き込む実装があれば、完全な静的ファイルでも反射型XSSが成立します。ファイルに動的なDOM操作が含まれるか必ず確認してください。"
}
},
{
"@type": "Question",
"name": "AIが生成したHTMLのXSSリスクを手軽にチェックする方法はありますか？",
"acceptedAnswer": {
"@type": "Answer",
"text": "VS CodeなどのエディタでinnerHTML・eval・document.writeをキーワード検索するだけでも有効です。より厳密にはDOMPurifyのような無害化ライブラリの利用やESLintのセキュリティプラグインによる自動検査を組み合わせると確実性が上がります。"
}
},
{
"@type": "Question",
"name": "XSSとSQLインジェクションはどう違うのですか？",
"acceptedAnswer": {
"@type": "Answer",
"text": "SQLインジェクションはデータベースへの不正操作を狙うサーバー側の脆弱性です。XSSはブラウザ上でスクリプトを実行させるクライアント側の攻撃で、静的HTMLサイトでも発生しうる点が大きな違いです。"
}
}
]
}
```