XMLの要素・属性・CDATAを構造を保ってマスキングする方法

XMLで確認すべき機密情報

• name、email、phone、addressなどの個人情報を持つ要素
• id、customerId、accountなどの属性値と内部識別子
• token、password、apiKey、credentialなどの認証情報
• CDATA内に埋め込まれた本文、JSON、SQL、トークン
• コメントや処理命令に記載された環境名、担当者名、内部URL

XMLをマスキングする手順

1. XMLコードを貼り付けるか、.xmlファイルを読み込みます。
2. 「マスキングする」を押し、XMLパスごとに検出された対象を確認します。
3. 値の種類と置換方法を選び、入力と結果を左右で比較します。
4. 説明に必要な箇所だけを結果欄で右クリックして解除します。
5. 元の氏名、ドメイン、IDを結果内で検索し、XMLファイルとして保存します。

構造を保つときの注意点

名前空間接頭辞、属性順、コメント、空要素の書き方、改行とインデントは連携先の比較やレビューで重要になることがあります。値だけを位置情報に基づいて置換すれば、XML全体を再シリアライズせず元の表記を維持できます。

自動判定は一般的な要素名と値形式を手掛かりにします。独自の略称や自由記述を完全には検出できないため、共有前にパス一覧と出力結果を確認してください。

DOCTYPEと外部エンティティは、ローカルファイルや外部URLを参照する危険があるため、マスキング対象として読み込まない運用が安全です。

具体例：顧客連携XMLを調査用データへ変換する

customer要素にid属性、name、email、phone、認証tokenが含まれるXMLでは、statusなど調査に必要な状態を残し、個人と認証に関係する値を置換します。

同じ顧客IDやメールが複数箇所に現れる場合は同じ代替値へ統一すると、実値を隠したままデータ同士の対応関係を追えます。

1. 顧客連携XMLを読み込み、構文エラーがないことを確認します。
2. id属性、name、email、phone、tokenのパスを対象にします。
3. 入力と結果を比較し、同じ元値が同じ仮名へ置換されたことを確認します。
4. 元の氏名、ドメイン、IDで結果を検索し、UTF-8のXMLとして保存します。

コメントや処理命令は自動マスキングの対象外です。そこに社内URLや担当者名がある場合は、入力XMLから削除してから共有してください。

よくある質問

XMLファイルはサーバーへアップロードされますか？

アップロードされません。読み込み、構文確認、マスキング、ファイル生成は利用中のブラウザ内で行います。

XMLの整形や属性順は変わりますか？

値の位置だけを置換するため、元の改行、インデント、名前空間接頭辞、属性順、空要素の表記を維持します。