こんにちは！JavaScriptのコアな仕組みへようこそ。今日は、プログラミング初学者が一番最初に直面し、そしてプロの現場でも時として悪夢を生む「変数のスコープ」と、そこから繋がる「プロトタイプ汚染」というセキュリティリスクの核心についてお話ししていきますね。
「JavaScriptって、変数を適当に `var` や `let` で宣言しても動くし簡単じゃん！」なんて思っていませんか？
実は、その油断がアプリケーション全体をハッカーに明け渡す致命的な脆弱性に直結することがあるんです。
ここをクリアすれば、JavaScriptの変数管理とメモリの挙動の本質がバッチリマスターできますよ。しっかりとコードの裏側の世界を覗いていきましょう！
—
1. 変数のスコープと「グローバル変数」という魔物
JavaScriptでは、変数をどこで宣言するかによって、その変数が「どこからアクセスできるか（＝スコープ）」が決まります。
もし、関数の外側やブロックの外側で、うっかり `var` を使ったり、あるいは宣言キーワードすら付けずに変数を定義してしまったりすると、それはグローバル変数（全世界から見えてしまう変数）になります。
ブラウザ環境であれば `window` オブジェクトのプロパティになり、Node.js環境であれば `global` オブジェクトのプロパティとして鎮座することになります。
危険なコードの例とメモリの挙動
まずは、よくある危険なコードを見てみましょう。
// うっかり宣言キーワードを忘れた、または var でグローバルに定義してしまった例
function setUserData(name) {
// ここで let や const を付け忘れると大変！
currentUserRole = name;
}
setUserData(“admin”);
console.log(currentUserRole); // “admin” が出力されてしまう
このコードの何が危険か分かりますか？ `currentUserRole` は、関数の中で作られたはずなのに、グローバルスコープ（V8エンジンのルートコンテキスト）に漏れ出しています。
これは、V8エンジンのメモリ空間（ヒープ領域）において、誰からでも書き換え可能な「共有の掲示板」にパスワードや権限情報を書き込んでいるようなものです。他のサードパーティ製ライブラリや、悪意あるスクリプトがこの変数を勝手に書き換えることができてしまいます。
—
2. プロトタイプチェーンとは何か？（基礎の復習）
スコープの話から少し視点を変えて、JavaScriptのアイデンティティである「プロトタイプ」についておさらいしましょう。
JavaScriptにはクラスベースのオブジェクト指向言語（JavaやC++など）とは異なり、プロトタイプベースという仕組みがあります。オブジェクトは、自分自身が持っていないプロパティやメソッドを呼び出されたとき、「親（プロトタイプ）」にそれを探しに行きます。この検索の仕組みをプロトタイプチェーンと呼びます。
すべてのオブジェクトの祖先には、`Object.prototype` という究極の親が存在します。
[ あなたが作ったオブジェクト ]
↓ (見つからない場合、親を探す)
[ Object.prototype ] （ここを変更すると、全オブジェクトに影響が…！）
—
3. グローバル変数が引き起こす「プロトタイプ汚染」の恐怖
さて、ここからが本題です。
「グローバル変数の管理が甘いこと」と「プロトタイプ汚染」がどう繋がるのでしょうか？
攻撃者は、もしアプリケーション内に「ユーザーからの入力をそのままオブジェクトのプロパティ代入に使ってしまう脆弱性（不安全なマージ処理など）」を見つけた場合、次のような攻撃を仕掛けます。
以下のシミュレーションコードを見てください。
// 攻撃者が外部から注入した悪意のある入力データ（JSONを想定）
// 注目すべきは “__proto__” というキーです。
const maliciousInput = JSON.parse(‘{“__proto__”: {“isAdmin”: true}}’);
// アプリケーション側にある、設定オブジェクトをマージ（結合）する関数
function updateSettings(target, source) {
for (let key in source) {
if (typeof source[key] === ‘object’ && source[key] !== null) {
// 再帰的にマージを行おうとする甘い実装
if (!target[key]) target[key] = {};
updateSettings(target[key], source[key]);
} else {
target[key] = source[key];
}
}
return target;
}
// アプリケーションの通常の設定オブジェクト
const userSettings = { theme: “dark” };
// ここで、グローバルスコープや安全ではないデータフローを経由して
// 攻撃データがマージ関数に流れ込んでしまったとします。
updateSettings(userSettings, maliciousInput);
// さあ、大変なことが起きました。
// 普通の空っぽのオブジェクトを新しく作ってみます。
const innocentUser = {};
// 驚くべきことに、何も設定していないはずの innocentUser に “isAdmin” が生えている！
console.log(innocentUser.isAdmin); // true が出力されてしまう！！
なぜこんなことが起きたのか？（V8エンジンの視点）
`__proto__` は、そのオブジェクトのプロトタイプ（親）への参照です。
上記のコードでは、マージ処理のループの中で `target[“__proto__”]` にアクセスしてしまったため、なんとすべてのJavaScriptオブジェクトの共通の祖先である `Object.prototype` に直接 `isAdmin = true` というプロパティを書き込んでしまったのです。
これがプロトタイプ汚染（Prototype Pollution）です。
グローバルなスコープ管理がずさんで、入力値のバリデーション（検証）を怠り、さらにオブジェクトのキーを安全に制限せずにマージ処理などを書いていると、このような致命的なセキュリティホールの温床となります。
もしアプリケーションの認証判定が `if (currentUser.isAdmin)` のようになっていたら……？
攻撃者はプロトタイプチェーンを汚染するだけで、システム全体の管理者権限をいとも簡単に奪い取ることができるのです。
—
4. このリスクから身を守るためのモダンなプラクティス
「うわ、JavaScriptって怖い言語だな…」と思いましたか？
大丈夫です！モダンなJavaScript（ES6以降）と堅牢なコーディング規約を守れば、こうしたリスクは完全にコントロールできます。
1. `var` を絶対に使わず、`const` と `let` を厳格に使い分ける
変数のスコープを必要最小限（ブロックレベルスコープ）に閉じ込め、グローバル空間を汚染しないようにしましょう。
// 良い例：スコープを関数内やブロック内に閉じる
function processUser() {
const currentUserRole = “user”; // この変数は外からは絶対に触れない
// 処理…
}
2. オブジェクトのプロトタイプ汚染を防ぐ防御的コードを書く
ユーザーからの入力や、外部から受け取ったJSONをオブジェクトにマージする場合は、`__proto__` や `constructor`、スケルトンを破壊するようなキーが含まれていないか必ずチェック（サニタイジング）するか、Object.freeze() や `Object.create(null)` を活用してプロトタイプを持たない安全なオブジェクトを生成しましょう。
// プロトタイプを持たない「純粋な箱」を作る
const safeConfig = Object.create(null);
safeConfig.theme = “dark”;
console.log(safeConfig.__proto__); // undefined (汚染しようがありません！)
—
まとめ
いかがでしたでしょうか？
変数のスコープという一見地味な文法の話が、V8エンジンのメモリ空間を駆け巡り、最終的にアプリケーション全体のセキュリティインシデントに繋がるメカニズムが見えてきたかと思います。
- グローバル変数の乱用は、メモリの共有地を荒らすことと同じ
- 不安全なオブジェクト操作は、プロトタイプチェーンを伝ってシステム全体を汚染する
この2つを意識するだけで、あなたの書くコードの安全性と品質はプロフェッショナルレベルに跳ね上がります。
基礎の積み重ねが、最高のWebアプリケーションを作る最強の盾になります。明日からのコード執筆に、ぜひこの知見を活かしてくださいね！