DaloyJS - The first TypeScript REST API framework built for secure AI-assisted services

どのフレームワークのドキュメントページにも「デフォルトでセキュア」と謳われています。しかし、ソースコードを読んでみると、ボディの制限が無限大に設定されていたり、JSONパーサーがプロトタイプ汚染に脆弱だったり、リクエストタイムアウトが設定されていなかったり、エラーレスポンスからスタックトレースが漏洩していたり​​します。その一方で、依存関係ツリーには、インストールスクリプトが未検証だったり、リリースまでの期間が設けられていなかったり、ソースコードと照合されていないロックファイルを持つパッケージがひっそりと存在しています。DaloyJSは、ランタイム保護、サプライチェーンの整合性、CIゲート、CSRF/CORS/JWT処理、mTLS、IPレピュテーション、SSRF防御など、非常に詳細かつ多層防御型のセキュリティ対策を、オプトインプラグインではなく、すべてファーストパーティの組み込み機能として提供しています。

この記事では、2026年にデフォルトでセキュアなHTTPフレームワークを実際にリリースするとはどういうことなのか、その両方について解説します。ランタイム層では、境界付きボディ解析、プロトタイプ汚染に安全なJSON、パストラバーサル拒否、バックプレッシャーに耐えるリクエストタイムアウト、Helmetグレードのヘッダー、RFC 9457 problem+jsonエラーがすべてデフォルトで有効で、すべて測定可能です。サプライチェーン層では、pnpm install時にサーバーに接続できないブロックされたライフサイクルスクリプト、新規パッケージ攻撃が表面化するまでの24時間のリリース期間のクールダウン、CIが出荷する前にgit depsと非レジストリtarballを捕捉するソース検証済みのロックファイル、固定ステップと不要な認証情報のない強化されたGitHub Actions。