Angular アプリケーションはデフォルトで安全であり、ほとんどのセキュリティ上の問題は、開発者がこれらの組み込み保護を回避することから生じます。Angular にはサニタイズパイプラインがあり、DOM にレンダリングする前に値を自動的に処理します。このパイプラインは、エスケープ、サニタイズ、トラストを区別し、トラストは自動チェックを明示的にバイパスします。HTML、STYLE、URL、RESOURCE_URL の 4 つの異なる SecurityContext があり、それぞれ異なるリスクプロファイルと処理があります。DomSanitizer は、入力をサニタイズするか、Safe* 型を使用して明示的に信頼するために使用されます。アンチパターンには、信頼されていない入力のセキュリティをバイパスすることが含まれており、これはセキュリティレビューで直ちに警告を発します。セキュリティのバイパスは正当化されることもありますが、慎重な検討とリスクの明確な理解が必要です。サニタイズをバイパスせずに Markdown を安全にレンダリングすることが、より良い代替手段として提示されています。SafeResourceUrl は、信頼された iframe の埋め込みに不可欠です。SafeUrl は、標準のアンカータグには一般的に必要ありません。Angular アプリケーションの CSRF 保護は、フロントエンドとバックエンド間の共有責任です。HTTP インターセプターは、セキュリティ強制レイヤーとして機能できます。Content Security Policy と Trusted Types は、フロントエンドのセキュリティをさらに強化します。この記事では、SSR とハイドレーションの考慮事項にも触れています。最終的に、セキュリティはフロントエンドとバックエンドの分割責任です。一般的な間違いが要約され、本番環境のセキュリティレビューチェックリストが提供され、Angular のセキュリティモデルとの連携を強調する締めくくりの考えが示されています。