【実務・中級編】URLスキーム(javascript:)を用いたXSS攻撃 – アプリケーションセキュリティ & 安全な開発防御ガイド

アプリケーションセキュリティ & 安全な開発

2026.09.19

なぜ「javascript:」スキームは今もなお開発者の盲点なのか

現場でコードレビューをしていると、今でもこの手の脆弱性に遭遇する。「そんなの昔の技術じゃないのか？」と思うかもしれないが、甘い。攻撃者は常に「開発者がHTMLの仕様を正しく理解していないポイント」を突いてくる。

特にタグの href 属性や </code> の <code>src</code> 属性に、ユーザーから受け取ったURLをそのままぶち込む実装。これ、実は一番手軽で、かつ最も被害が甚大なXSSの入り口だ。</p> <h3><span id="toc2">「javascript:」スキームによる攻撃の裏側（PoC）</span></h3> <p>例えば、ユーザーのプロフィールページに「外部サイトリンク」を設定できる機能があったとしよう。多くのエンジニアは、DBから取得したURLを単にエスケープして出力するだけで満足してしまう。</p> <p><br /> <a href="https://trusted-site.com/profile/123">ユーザーのリンク</a></p> <p><br /> <a href="javascript:alert(document.cookie)">ここをクリックして特典ゲット！</a></p> <p>ブラウザはこの <code>href</code> 属性を評価する際、<code>javascript:</code> というプロトコルを見つけると、その後の文字列をJavaScriptコードとして実行する。これこそが「URLスキームによるXSS」だ。</p> <p>反射型だろうが格納型だろうが関係ない。ユーザーがリンクをクリックした瞬間に、攻撃者はセッションハイジャックに必要なトークンを奪取したり、勝手にPOSTリクエストを飛ばして設定を書き換えたりする。<b>「自分のブラウザで実行されるだけ」と高をくくっていると、バックエンドの管理機能まで乗っ取られることになるぞ。</b></p> <p>—</p> <h3><span id="toc3">「安易なフィルタリング」が失敗する理由</span></h3> <p>よくある間違いが、<code>javascript</code> という文字列を置換で消そうとすることだ。</p> <ul> <li><code>java
script:alert(1)</code>（改行コードの挿入）</li> <li><code>JavAscrIpt:alert(1)</code>（大文字小文字の混在）</li> </ul> <p>こういった難読化手法を全て正規表現で追いかけるのは、セキュリティのプロでも骨が折れる。<b>「ブラックリスト方式」で守ろうとするな。</b> 泥沼にはまるだけだ。</p> <p>—</p> <h3><span id="toc4">正解：プロトコルホワイトリストによる防御</span></h3> <p>防御の鉄則は<b>「ホワイトリスト方式」</b>だ。許可するスキームを <code>http</code> と <code>https</code> のみに制限する。これだけで <code>javascript:</code> などの危険なスキームを完全に無効化できる。</p> <h3><span id="toc5">Python (Flask/Django等のバックエンド) での実装例</span></h3> <p>ライブラリを使うのが最も確実だ。Pythonなら <code>urllib.parse</code> を使って、パースした結果のスキームを確認するのが鉄則だ。</p> <p>from urllib.parse import urlparse</p> <p>def is_safe_url(url):<br /> # 許可するスキームを定義<br /> allowed_schemes = {‘http’, ‘https’}<br /> parsed = urlparse(url)</p> <p> # スキームが空（相対パス）または許可されたスキームのみを通す<br /> # 攻撃者は ‘javascript:’ を指定してくるので、ここを通らない<br /> return parsed.scheme in allowed_schemes or parsed.scheme == ”</p> <p>利用例<br /> user_input = “javascript:alert(1)”<br /> if is_safe_url(user_input):<br /> render_link(user_input)<br /> else:<br /> render_link(“#”) # 安全なデフォルト値へ置換</p> <h3><span id="toc6">JavaScript (フロントエンド) での実装例</span></h3> <p>フロントエンドで動的にリンクを生成する場合も同様だ。</p> <p>function getSafeUrl(url) {<br /> try {<br /> const parsed = new URL(url);<br /> // httpかhttps以外なら例外を投げる<br /> if ([‘http:’, ‘https:’].includes(parsed.protocol)) {<br /> return url;<br /> }<br /> } catch (e) {<br /> // パースできない不正な形式は無視<br /> }<br /> return ‘#’; // 安全なフォールバック<br /> }</p> <p>// 使用例：DOM操作時<br /> const link = document.createElement(‘a’);<br /> link.href = getSafeUrl(userInput);</p> <p>—</p> <h3><span id="toc7">インフラ層での二段構え：CSPの活用</span></h3> <p>コードレベルでの修正が完了したとしても、人間が書くコードにミスはつきものだ。だからこそ、<b>Content Security Policy (CSP)</b> をヘッダーで設定しておくことを強く勧める。</p> <p>NginxでCSPヘッダーを付与する場合の設定例だ。</p> <p>CSP設定例<br /> ‘unsafe-inline’ を排除し、信頼できないソースからのJS実行を抑制する<br /> add_header Content-Security-Policy “default-src ‘self’; script-src ‘self’; object-src ‘none’;”;</p> <p>これにより、万が一コードの隙を突かれて <code>javascript:</code> スキームが注入されても、ブラウザが「このリンクの実行はポリシー違反だ」と判断し、実行をブロックしてくれる。</p> <p>—</p> <h3><span id="toc8">チーフからのアドバイス：実装の極意</span></h3> <p>最後に、チームのみんなへ。</p> <p>「機能を作る」ことと「安全に動くものを作る」ことは、エンジニアにとって別物ではない。<b>URLを扱うときは、必ず「これは外部からの入力か？」「プロトコルは信頼できるか？」を自問自答すること。</b></p> <p>今回紹介したホワイトリスト方式は、実装コストは低いが効果は絶大だ。今日から、君たちのプロジェクトにある全ての <code>href</code> や <code>src</code> 属性を見直してほしい。もし「とりあえずそのまま表示している」箇所があれば、それが次回のインシデントの火種になる。</p> <p>セキュリティは、派手なハッキング手法を防ぐことよりも、こうした「当たり前のチェック」をどれだけ妥協せずに積み重ねられるかにかかっている。頼んだぞ。</p> </div> <footer class="article-footer entry-footer"> <div class="entry-categories-tags ctdt-one-row"> <div class="entry-categories"><a class="cat-link cat-link-2" href="https://security.intronational.com/category/application-security/"><span class="fa fa-folder cat-icon tax-icon" aria-hidden="true"></span>アプリケーションセキュリティ & 安全な開発</a><a class="cat-link cat-link-8" href="https://security.intronational.com/category/application-security/sec-medium-id-3/"><span class="fa fa-folder cat-icon tax-icon" aria-hidden="true"></span>クロスサイトスクリプティング（XSS）の全種類（反射型・格納型・DOM型）と防御</a></div> </div> <div class="ad-area no-icon ad-content-bottom ad-rectangle ad-label-visible cf" itemscope itemtype="https://schema.org/WPAdBlock"> <div class="ad-label" itemprop="name" data-nosnippet>スポンサーリンク</div> <div class="ad-wrap"> <div class="ad-responsive ad-usual"> <ins class="adsbygoogle" style="display:block" data-ad-client="ca-pub-7214025567716564" data-ad-slot="6558619545" data-ad-format="rectangle" data-full-width-responsive="true"></ins> <script> (adsbygoogle = window.adsbygoogle || []).push({}); </script></div> </div> </div> <div class="sns-share ss-col-3 bc-brand-color sbc-hide ss-bottom"> <div class="sns-share-message">シェアする</div> <div class="sns-share-buttons sns-buttons"> <a href="https://x.com/intent/tweet?text=%E3%80%90%E5%AE%9F%E5%8B%99%E3%83%BB%E4%B8%AD%E7%B4%9A%E7%B7%A8%E3%80%91URL%E3%82%B9%E3%82%AD%E3%83%BC%E3%83%A0%28javascript%3A%29%E3%82%92%E7%94%A8%E3%81%84%E3%81%9FXSS%E6%94%BB%E6%92%83+%E2%80%93+%E3%82%A2%E3%83%97%E3%83%AA%E3%82%B1%E3%83%BC%E3%82%B7%E3%83%A7%E3%83%B3%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3+%26+%E5%AE%89%E5%85%A8%E3%81%AA%E9%96%8B%E7%99%BA%E9%98%B2%E5%BE%A1%E3%82%AC%E3%82%A4%E3%83%89&url=https%3A%2F%2Fsecurity.intronational.com%2F%25e3%2580%2590%25e5%25ae%259f%25e5%258b%2599%25e3%2583%25bb%25e4%25b8%25ad%25e7%25b4%259a%25e7%25b7%25a8%25e3%2580%2591url%25e3%2582%25b9%25e3%2582%25ad%25e3%2583%25bc%25e3%2583%25a0javascript%25e3%2582%2592%25e7%2594%25a8%25e3%2581%2584%25e3%2581%259fxss%25e6%2594%25bb%25e6%2592%2583-%25e3%2582%25a2%2F" class="sns-button share-button twitter-button twitter-share-button-sq x-corp-button x-corp-share-button-sq" target="_blank" title="Xでシェア" rel="nofollow noopener noreferrer" aria-label="Xでシェア"><span class="social-icon icon-x-corp"></span><span class="button-caption">X</span><span class="share-count twitter-share-count x-share-count"></span></a> <a href="//www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fsecurity.intronational.com%2F%25e3%2580%2590%25e5%25ae%259f%25e5%258b%2599%25e3%2583%25bb%25e4%25b8%25ad%25e7%25b4%259a%25e7%25b7%25a8%25e3%2580%2591url%25e3%2582%25b9%25e3%2582%25ad%25e3%2583%25bc%25e3%2583%25a0javascript%25e3%2582%2592%25e7%2594%25a8%25e3%2581%2584%25e3%2581%259fxss%25e6%2594%25bb%25e6%2592%2583-%25e3%2582%25a2%2F&t=%E3%80%90%E5%AE%9F%E5%8B%99%E3%83%BB%E4%B8%AD%E7%B4%9A%E7%B7%A8%E3%80%91URL%E3%82%B9%E3%82%AD%E3%83%BC%E3%83%A0%28javascript%3A%29%E3%82%92%E7%94%A8%E3%81%84%E3%81%9FXSS%E6%94%BB%E6%92%83+%E2%80%93+%E3%82%A2%E3%83%97%E3%83%AA%E3%82%B1%E3%83%BC%E3%82%B7%E3%83%A7%E3%83%B3%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3+%26+%E5%AE%89%E5%85%A8%E3%81%AA%E9%96%8B%E7%99%BA%E9%98%B2%E5%BE%A1%E3%82%AC%E3%82%A4%E3%83%89" class="sns-button share-button facebook-button facebook-share-button-sq" target="_blank" title="Facebookでシェア" rel="nofollow noopener noreferrer" aria-label="Facebookでシェア"><span class="social-icon icon-facebook"></span><span class="button-caption">Facebook</span><span class="share-count facebook-share-count"></span></a> <a href="//b.hatena.ne.jp/entry/s/security.intronational.com/%e3%80%90%e5%ae%9f%e5%8b%99%e3%83%bb%e4%b8%ad%e7%b4%9a%e7%b7%a8%e3%80%91url%e3%82%b9%e3%82%ad%e3%83%bc%e3%83%a0javascript%e3%82%92%e7%94%a8%e3%81%84%e3%81%9fxss%e6%94%bb%e6%92%83-%e3%82%a2/" class="sns-button share-button hatebu-button hatena-bookmark-button hatebu-share-button-sq" data-hatena-bookmark-layout="simple" target="_blank" title="はてブでブックマーク" rel="nofollow noopener noreferrer" aria-label="はてブでブックマーク"><span class="social-icon icon-hatena"></span><span class="button-caption">はてブ</span><span class="share-count hatebu-share-count"></span></a> <a href="//timeline.line.me/social-plugin/share?url=https%3A%2F%2Fsecurity.intronational.com%2F%25e3%2580%2590%25e5%25ae%259f%25e5%258b%2599%25e3%2583%25bb%25e4%25b8%25ad%25e7%25b4%259a%25e7%25b7%25a8%25e3%2580%2591url%25e3%2582%25b9%25e3%2582%25ad%25e3%2583%25bc%25e3%2583%25a0javascript%25e3%2582%2592%25e7%2594%25a8%25e3%2581%2584%25e3%2581%259fxss%25e6%2594%25bb%25e6%2592%2583-%25e3%2582%25a2%2F" class="sns-button share-button line-button line-share-button-sq" target="_blank" title="LINEでシェア" rel="nofollow noopener noreferrer" aria-label="LINEでシェア"><span class="social-icon icon-line"></span><span class="button-caption">LINE</span><span class="share-count line-share-count"></span></a> <a href="//www.pinterest.com/pin/create/button/?url=https%3A%2F%2Fsecurity.intronational.com%2F%25e3%2580%2590%25e5%25ae%259f%25e5%258b%2599%25e3%2583%25bb%25e4%25b8%25ad%25e7%25b4%259a%25e7%25b7%25a8%25e3%2580%2591url%25e3%2582%25b9%25e3%2582%25ad%25e3%2583%25bc%25e3%2583%25a0javascript%25e3%2582%2592%25e7%2594%25a8%25e3%2581%2584%25e3%2581%259fxss%25e6%2594%25bb%25e6%2592%2583-%25e3%2582%25a2%2F" class="sns-button share-button pinterest-button pinterest-share-button-sq" target="_blank" title="Pinterestでシェア" rel="nofollow noopener noreferrer" data-pin-do="buttonBookmark" data-pin-custom="true" aria-label="Pinterestでシェア"><span class="social-icon icon-pinterest"></span><span class="button-caption">Pinterest</span><span class="share-count pinterest-share-count"></span></a> <a role="button" tabindex="0" class="sns-button share-button copy-button copy-share-button-sq" data-clipboard-text="【実務・中級編】URLスキーム(javascript:)を用いたXSS攻撃 – アプリケーションセキュリティ & 安全な開発防御ガイド https://security.intronational.com/%e3%80%90%e5%ae%9f%e5%8b%99%e3%83%bb%e4%b8%ad%e7%b4%9a%e7%b7%a8%e3%80%91url%e3%82%b9%e3%82%ad%e3%83%bc%e3%83%a0javascript%e3%82%92%e7%94%a8%e3%81%84%e3%81%9fxss%e6%94%bb%e6%92%83-%e3%82%a2/" title="タイトルとURLをコピーする" aria-label="タイトルとURLをコピーする"><span class="social-icon icon-copy"></span><span class="button-caption">コピー</span><span class="share-count copy-share-count"></span></a> </div> </div>  <div class="sns-follow bc-brand-color fbc-hide sf-bottom"> <div class="sns-follow-message">securityintronationalをフォローする</div> <div class="sns-follow-buttons sns-buttons"> <a href="//feedly.com/i/discover/sources/search/feed/https%3A%2F%2Fsecurity.intronational.com" class="sns-button follow-button feedly-button feedly-follow-button-sq" target="_blank" title="feedlyで更新情報を購読" rel="nofollow noopener noreferrer" aria-label="feedlyで更新情報を購読"><span class="icon-feedly-logo"></span><span class="follow-count feedly-follow-count"></span></a> <a href="https://security.intronational.com/feed/" class="sns-button follow-button rss-button rss-follow-button-sq" target="_blank" title="RSSで更新情報を購読" rel="nofollow noopener noreferrer" aria-label="RSSで更新情報を購読"><span class="icon-rss-logo"></span></a> </div> </div> <div class="footer-meta"> <div class="author-info"> <span class="fa fa-pencil" aria-hidden="true"></span> <a href="https://security.intronational.com/author/securityintronational/" class="author-link"> <span class="post-author vcard author" itemprop="editor author creator copyrightHolder" itemscope itemtype="https://schema.org/Person"> <meta itemprop="url" content="https://security.intronational.com/author/securityintronational/"> <span class="author-name fn" itemprop="name">securityintronational</span> </span> </a> </div> </div> </footer> </article> <div class="under-entry-content"> <aside id="related-entries" class="related-entries rect-entry-card"> <h2 class="related-entry-heading"> <span class="related-entry-main-heading main-caption"> 関連記事 </span> </h2> <div class="related-list"> <a href="https://security.intronational.com/%e3%80%90%e5%ae%9f%e5%8b%99%e3%83%bb%e4%b8%ad%e7%b4%9a%e7%b7%a8%e3%80%91dom%e3%83%99%e3%83%bc%e3%82%b9xss%e3%81%ae%e7%99%ba%e7%94%9f%e3%83%a1%e3%82%ab%e3%83%8b%e3%82%ba%e3%83%a0%e3%81%a8%e3%82%af-3/" class="related-entry-card-wrap a-wrap border-element cf" title="【実務・中級編】DOMベースXSSの発生メカニズムとクライアントサイドのソース・シンク関係 – アプリケーションセキュリティ & 安全な開発防御ガイド"> <article class="post-2469 related-entry-card e-card cf post type-post status-publish format-standard hentry category-application-security-post category-sec-medium-id-2-post"> <figure class="related-entry-card-thumb card-thumb e-card-thumb"> <img src="http://security.intronational.com/wp-content/uploads/2026/09/security-eyechach.jpg" alt="" class="no-image related-entry-card-no-image" width="320" height="180" /> <span class="cat-label cat-label-2">アプリケーションセキュリティ & 安全な開発</span> </figure> <div class="related-entry-card-content card-content e-card-content"> <h3 class="related-entry-card-title card-title e-card-title"> 【実務・中級編】DOMベースXSSの発生メカニズムとクライアントサイドのソース・シンク関係 – アプリケーションセキュリティ & 安全な開発防御ガイド </h3> <div class="related-entry-card-snippet card-snippet e-card-snippet"> フロントエンドの「死角」を突く：DOMベースXSSの正体と、現場で通用する防御術多くのエンジニアが「XSS対策はサーバーサイドでエスケープすれば万全」という幻想を抱いている。だが、残念ながらそれは現代のWebアプリケーションにおいては半分し... </div> </div> </article> </a> <a href="https://security.intronational.com/%e3%80%90%e5%85%a5%e9%96%80%e7%b7%a8%e3%80%91mxssmutation-xss%e3%81%ae%e7%99%ba%e7%94%9f%e3%83%a1%e3%82%ab%e3%83%8b%e3%82%ba%e3%83%a0%e3%81%a8%e3%83%96%e3%83%a9%e3%82%a6%e3%82%b6%e3%81%ae%e3%83%91/" class="related-entry-card-wrap a-wrap border-element cf" title="【入門編】mXSS(Mutation XSS)の発生メカニズムとブラウザのパース挙動 – アプリケーションセキュリティ & 安全な開発防御ガイド"> <article class="post-2610 related-entry-card e-card cf post type-post status-publish format-standard hentry category-application-security-post category-sec-medium-id-3-post"> <figure class="related-entry-card-thumb card-thumb e-card-thumb"> <img src="http://security.intronational.com/wp-content/uploads/2026/09/security-eyechach.jpg" alt="" class="no-image related-entry-card-no-image" width="320" height="180" /> <span class="cat-label cat-label-2">アプリケーションセキュリティ & 安全な開発</span> </figure> <div class="related-entry-card-content card-content e-card-content"> <h3 class="related-entry-card-title card-title e-card-title"> 【入門編】mXSS(Mutation XSS)の発生メカニズムとブラウザのパース挙動 – アプリケーションセキュリティ & 安全な開発防御ガイド </h3> <div class="related-entry-card-snippet card-snippet e-card-snippet"> こんにちは！セキュリティの世界へようこそ。日々、コードと向き合う中で「XSS（クロスサイトスクリプティング）」という言葉、一度は耳にしたことがあるのではないでしょうか？「ちゃんとサニタイズ（無害化）してるから大丈夫だよ」なんて思っているあな... </div> </div> </article> </a> <a href="https://security.intronational.com/%e3%80%90%e5%85%a5%e9%96%80%e7%b7%a8%e3%80%91referer%e3%83%98%e3%83%83%e3%83%80%e3%83%bc%e3%81%ae%e6%bc%8f%e6%b4%a9%e3%83%aa%e3%82%b9%e3%82%af%e3%81%a8referrer-policy%e3%81%ab%e3%82%88%e3%82%8b/" class="related-entry-card-wrap a-wrap border-element cf" title="【入門編】Refererヘッダーの漏洩リスクとReferrer-Policyによる制御 – アプリケーションセキュリティ & 安全な開発防御ガイド"> <article class="post-2699 related-entry-card e-card cf post type-post status-publish format-standard hentry category-application-security-post category-sec-medium-id-3-post"> <figure class="related-entry-card-thumb card-thumb e-card-thumb"> <img src="http://security.intronational.com/wp-content/uploads/2026/09/security-eyechach.jpg" alt="" class="no-image related-entry-card-no-image" width="320" height="180" /> <span class="cat-label cat-label-2">アプリケーションセキュリティ & 安全な開発</span> </figure> <div class="related-entry-card-content card-content e-card-content"> <h3 class="related-entry-card-title card-title e-card-title"> 【入門編】Refererヘッダーの漏洩リスクとReferrer-Policyによる制御 – アプリケーションセキュリティ & 安全な開発防御ガイド </h3> <div class="related-entry-card-snippet card-snippet e-card-snippet"> 「URLに機密情報を入れたら終わり」？XSSとReferer漏洩からあなたのサイトを守る防犯術こんにちは！現場でセキュリティの最前線に立っていると、「まさかそんなところから情報が漏れるなんて……」というケースによく遭遇します。開発を始めたば... </div> </div> </article> </a> <a href="https://security.intronational.com/%e3%80%90%e3%83%86%e3%82%af%e3%83%8b%e3%82%ab%e3%83%ab%e3%83%bb%e4%b8%8a%e7%b4%9a%e7%b7%a8%e3%80%91aws-kms%e3%82%92%e7%94%a8%e3%81%84%e3%81%9f%e3%83%87%e3%83%bc%e3%82%bf%e6%9a%97%e5%8f%b7%e5%8c%96/" class="related-entry-card-wrap a-wrap border-element cf" title="【テクニカル・上級編】AWS KMSを用いたデータ暗号化と鍵のローテーション戦略 – アプリケーションセキュリティ & 安全な開発防御ガイド"> <article class="post-1949 related-entry-card e-card cf post type-post status-publish format-standard hentry category-sec-medium-id-1-post category-application-security-post"> <figure class="related-entry-card-thumb card-thumb e-card-thumb"> <img src="http://security.intronational.com/wp-content/uploads/2026/09/security-eyechach.jpg" alt="" class="no-image related-entry-card-no-image" width="320" height="180" /> <span class="cat-label cat-label-6">OWASP Top 10の基本概念と最新動向</span> </figure> <div class="related-entry-card-content card-content e-card-content"> <h3 class="related-entry-card-title card-title e-card-title"> 【テクニカル・上級編】AWS KMSを用いたデータ暗号化と鍵のローテーション戦略 – アプリケーションセキュリティ & 安全な開発防御ガイド </h3> <div class="related-entry-card-snippet card-snippet e-card-snippet"> AWS KMS を核としたデータ暗号化と鍵ローテーション：最前線からの防衛戦略サイバー攻撃の最前線に身を置く者として、我々が直面するのは、教科書的な脆弱性リストの表面をなぞるだけでは太刀打ちできない、巧妙かつ執拗な攻撃です。特に、データ暗号... </div> </div> </article> </a> <a href="https://security.intronational.com/%e3%80%90%e5%ae%9f%e5%8b%99%e3%83%bb%e4%b8%ad%e7%b4%9a%e7%b7%a8%e3%80%91jwt%e3%81%ae%e5%a4%b1%e5%8a%b9%e7%ae%a1%e7%90%86revocation%e3%81%a8%e3%83%96%e3%83%a9%e3%83%83%e3%82%af%e3%83%aa%e3%82%b9/" class="related-entry-card-wrap a-wrap border-element cf" title="【実務・中級編】JWTの失効管理(Revocation)とブラックリストパターンの実装 – アプリケーションセキュリティ & 安全な開発防御ガイド"> <article class="post-1694 related-entry-card e-card cf post type-post status-publish format-standard hentry category-sec-medium-id-1-post category-application-security-post"> <figure class="related-entry-card-thumb card-thumb e-card-thumb"> <img src="http://security.intronational.com/wp-content/uploads/2026/09/security-eyechach.jpg" alt="" class="no-image related-entry-card-no-image" width="320" height="180" /> <span class="cat-label cat-label-6">OWASP Top 10の基本概念と最新動向</span> </figure> <div class="related-entry-card-content card-content e-card-content"> <h3 class="related-entry-card-title card-title e-card-title"> 【実務・中級編】JWTの失効管理(Revocation)とブラックリストパターンの実装 – アプリケーションセキュリティ & 安全な開発防御ガイド </h3> <div class="related-entry-card-snippet card-snippet e-card-snippet"> JWTの「ステートレス」という甘い罠：失効管理をサボるエンジニアが迎える結末「JWTはサーバー側で状態を持たないからスケーラブルだ」。確かにその通りだ。しかし、この設計思想を教条的に信じすぎた結果、重大なインシデントに直結するケースを私は山... </div> </div> </article> </a> <a href="https://security.intronational.com/%e3%80%90%e5%85%a5%e9%96%80%e7%b7%a8%e3%80%91oauth-2-0%e3%81%aestate%e3%83%91%e3%83%a9%e3%83%a1%e3%83%bc%e3%82%bf%e3%81%ab%e3%82%88%e3%82%8bcsrf%e5%af%be%e7%ad%96%e3%81%ae%e5%ae%8c%e5%85%a8%e6%80%a7/" class="related-entry-card-wrap a-wrap border-element cf" title="【入門編】OAuth 2.0のstateパラメータによるCSRF対策の完全性 – アプリケーションセキュリティ & 安全な開発防御ガイド"> <article class="post-1793 related-entry-card e-card cf post type-post status-publish format-standard hentry category-sec-medium-id-1-post category-application-security-post"> <figure class="related-entry-card-thumb card-thumb e-card-thumb"> <img src="http://security.intronational.com/wp-content/uploads/2026/09/security-eyechach.jpg" alt="" class="no-image related-entry-card-no-image" width="320" height="180" /> <span class="cat-label cat-label-6">OWASP Top 10の基本概念と最新動向</span> </figure> <div class="related-entry-card-content card-content e-card-content"> <h3 class="related-entry-card-title card-title e-card-title"> 【入門編】OAuth 2.0のstateパラメータによるCSRF対策の完全性 – アプリケーションセキュリティ & 安全な開発防御ガイド </h3> <div class="related-entry-card-snippet card-snippet e-card-snippet"> 「OAuth 2.0のstateパラメータ？なんだか難しそう…」そう思ったあなた、大丈夫です。今日は、セキュリティの世界では「基本中の基本」と言われながら、実は現場で一番見落とされがちな「stateパラメータの重要性」について、難しい専門... </div> </div> </article> </a> </div> </aside> <div class="ad-area no-icon ad-below-related-posts ad-rectangle ad-label-visible cf" itemscope itemtype="https://schema.org/WPAdBlock"> <div class="ad-label" itemprop="name" data-nosnippet>スポンサーリンク</div> <div class="ad-wrap"> <div class="ad-responsive ad-usual"> <ins class="adsbygoogle" style="display:block" data-ad-client="ca-pub-7214025567716564" data-ad-slot="6558619545" data-ad-format="rectangle" data-full-width-responsive="true"></ins> <script> (adsbygoogle = window.adsbygoogle || []).push({}); </script></div> </div> </div> <div id="pager-post-navi" class="pager-post-navi post-navi-default cf"> <a href="https://security.intronational.com/%e3%80%90%e5%85%a5%e9%96%80%e7%b7%a8%e3%80%91url%e3%82%b9%e3%82%ad%e3%83%bc%e3%83%a0javascript%e3%82%92%e7%94%a8%e3%81%84%e3%81%9fxss%e6%94%bb%e6%92%83-%e3%82%a2%e3%83%97%e3%83%aa%e3%82%b1/" title="【入門編】URLスキーム(javascript:)を用いたXSS攻撃 – アプリケーションセキュリティ & 安全な開発防御ガイド" class="prev-post a-wrap border-element cf"> <div class="fa fa-chevron-left iconfont" aria-hidden="true"></div> <figure class="prev-post-thumb card-thumb"><img src="http://security.intronational.com/wp-content/uploads/2026/09/security-eyechach.jpg" alt="" class="no-image post-navi-no-image" width="240" height="135" /></figure> <div class="prev-post-title">【入門編】URLスキーム(javascript:)を用いたXSS攻撃 – アプリケーションセキュリティ & 安全な開発防御ガイド</div></a><a href="https://security.intronational.com/%e3%80%90%e5%ae%9f%e5%8b%99%e3%83%bb%e4%b8%ad%e7%b4%9a%e7%b7%a8%e3%80%91-%e6%9c%80%e5%b0%8f%e6%a8%a9%e9%99%90%e3%81%ae%e5%8e%9f%e5%89%87%e3%81%ab%e5%9f%ba%e3%81%a5%e3%81%8f%e4%b8%8d%e8%a6%81%e3%82%b5/" title="【実務・中級編】最小権限の原則に基づく不要サービスの特定と停止 – インフラ・ネットワーク & クラウドセキュリティ防御ガイド" class="next-post a-wrap cf"> <div class="fa fa-chevron-right iconfont" aria-hidden="true"></div> <figure class="next-post-thumb card-thumb"> <img src="http://security.intronational.com/wp-content/uploads/2026/09/security-eyechach.jpg" alt="" class="no-image post-navi-no-image" width="240" height="135" /></figure> <div class="next-post-title">【実務・中級編】最小権限の原則に基づく不要サービスの特定と停止 – インフラ・ネットワーク & クラウドセキュリティ防御ガイド</div></a> </div>  <div id="comment-area" class="comment-area"> <section class="comment-list"> <h2 id="comments" class="comment-title"> コメント </h2> </section> <aside class="comment-form-wrap"> <button type="button" id="comment-reply-btn" class="comment-btn key-btn">コメントを書き込む</button> <div id="respond" class="comment-respond"> <h3 id="reply-title" class="comment-reply-title">コメントをどうぞ <small><a rel="nofollow" id="cancel-comment-reply-link" href="/%e3%80%90%e5%ae%9f%e5%8b%99%e3%83%bb%e4%b8%ad%e7%b4%9a%e7%b7%a8%e3%80%91url%e3%82%b9%e3%82%ad%e3%83%bc%e3%83%a0javascript%e3%82%92%e7%94%a8%e3%81%84%e3%81%9fxss%e6%94%bb%e6%92%83-%e3%82%a2/#respond" style="display:none;">コメントをキャンセル</a></small></h3><form action="https://security.intronational.com/wp-comments-post.php" method="post" id="commentform" class="comment-form"><p class="comment-notes"><span id="email-notes">メールアドレスが公開されることはありません。</span> <span class="required">※</span> が付いている欄は必須項目です</p><p class="comment-form-comment"><label for="comment">コメント <span class="required">※</span></label> <textarea id="comment" name="comment" cols="45" rows="8" maxlength="65525" required="required"></textarea></p><p class="comment-form-author"><label for="author">名前 <span class="required">※</span></label> <input id="author" name="author" type="text" value="" size="30" maxlength="245" autocomplete="name" required="required" /></p> <p class="comment-form-email"><label for="email">メール <span class="required">※</span></label> <input id="email" name="email" type="text" value="" size="30" maxlength="100" aria-describedby="email-notes" autocomplete="email" required="required" /></p> <p class="comment-form-url"><label for="url">サイト</label> <input id="url" name="url" type="text" value="" size="30" maxlength="200" autocomplete="url" /></p> <p class="comment-form-cookies-consent"><input id="wp-comment-cookies-consent" name="wp-comment-cookies-consent" type="checkbox" value="yes" /> <label for="wp-comment-cookies-consent">次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。</label></p> <p class="form-submit"><input name="submit" type="submit" id="submit" class="submit" value="コメントを送信" /> <input type='hidden' name='comment_post_ID' value='2655' id='comment_post_ID' /> <input type='hidden' name='comment_parent' id='comment_parent' value='0' /> </p></form> </div> </aside></div> </div> <div id="breadcrumb" class="breadcrumb breadcrumb-category sbp-main-bottom" itemscope itemtype="https://schema.org/BreadcrumbList"><div class="breadcrumb-home" itemscope itemtype="https://schema.org/ListItem" itemprop="itemListElement"><span class="fa fa-home fa-fw" aria-hidden="true"></span><a href="https://security.intronational.com" itemprop="item"><span itemprop="name" class="breadcrumb-caption">ホーム</span></a><meta itemprop="position" content="1" /></div><div class="breadcrumb-item" itemscope itemtype="https://schema.org/ListItem" itemprop="itemListElement"><span class="sp"><span class="fa fa-angle-right" aria-hidden="true"></span></span><span class="fa fa-folder fa-fw" aria-hidden="true"></span><a href="https://security.intronational.com/category/application-security/" itemprop="item"><span itemprop="name" class="breadcrumb-caption">アプリケーションセキュリティ & 安全な開発</span></a><meta itemprop="position" content="2" /></div></div> </main> <div id="sidebar" class="sidebar nwa cf" role="complementary"> <div class="ad-area no-icon ad-sidebar-top ad-auto ad-label-invisible cf" itemscope itemtype="https://schema.org/WPAdBlock"> <div class="ad-label" itemprop="name" data-nosnippet>スポンサーリンク</div> <div class="ad-wrap"> <div class="ad-responsive ad-usual"> <ins class="adsbygoogle" style="display:block" data-ad-client="ca-pub-7214025567716564" data-ad-slot="6558619545" data-ad-format="auto" data-full-width-responsive="true"></ins> <script> (adsbygoogle = window.adsbygoogle || []).push({}); </script></div> </div> </div> <aside id="block-2" class="widget widget-sidebar widget-sidebar-standard widget_block widget_search"><form role="search" method="get" action="https://security.intronational.com/" class="wp-block-search__button-outside wp-block-search__text-button wp-block-search" ><label class="wp-block-search__label" for="wp-block-search__input-2" >検索</label><div class="wp-block-search__inside-wrapper" ><input class="wp-block-search__input" id="wp-block-search__input-2" placeholder="" value="" type="search" name="s" required /><button aria-label="検索" class="wp-block-search__button wp-element-button" type="submit" >検索</button></div></form></aside> <div id="sidebar-scroll" class="sidebar-scroll"> <aside id="block-6" class="widget widget-sidebar widget-sidebar-scroll widget_block"><div class="wp-block-group is-layout-flow wp-block-group-is-layout-flow"><h2 class="wp-block-heading">カテゴリー</h2><ul class="wp-block-categories-list wp-block-categories-taxonomy-category wp-block-categories"> <li class="cat-item cat-item-56"><a href="https://security.intronational.com/category/iot-ot-web3-security/"><span class="list-item-caption">IoT・OT（制御システム） & ブロックチェーンセキュリティ</span></a> </li> <li class="cat-item cat-item-6"><a href="https://security.intronational.com/category/application-security/sec-medium-id-1/"><span class="list-item-caption">OWASP Top 10の基本概念と最新動向</span></a> </li> <li class="cat-item cat-item-2"><a href="https://security.intronational.com/category/application-security/"><span class="list-item-caption">アプリケーションセキュリティ & 安全な開発</span></a> </li> <li class="cat-item cat-item-55"><a href="https://security.intronational.com/category/incident-response-dfir/"><span class="list-item-caption">インシデントレスポンス & フォレンジック（DFIR）</span></a> </li> <li class="cat-item cat-item-7"><a href="https://security.intronational.com/category/application-security/sec-medium-id-2/"><span class="list-item-caption">インジェクション攻撃（SQLi, OSコマンドなど）のメカニズムと対策</span></a> </li> <li class="cat-item cat-item-3"><a href="https://security.intronational.com/category/infrastructure-cloud-security/"><span class="list-item-caption">インフラ・ネットワーク & クラウドセキュリティ</span></a> </li> <li class="cat-item cat-item-54"><a href="https://security.intronational.com/category/offensive-security/"><span class="list-item-caption">オフェンシブセキュリティ & リバースエンジニアリング</span></a> </li> <li class="cat-item cat-item-5"><a href="https://security.intronational.com/category/governance-ai-security/"><span class="list-item-caption">ガバナンス・リスク管理 & 生成AIセキュリティ</span></a> </li> <li class="cat-item cat-item-8"><a href="https://security.intronational.com/category/application-security/sec-medium-id-3/"><span class="list-item-caption">クロスサイトスクリプティング（XSS）の全種類（反射型・格納型・DOM型）と防御</span></a> </li> <li class="cat-item cat-item-18"><a href="https://security.intronational.com/category/infrastructure-cloud-security/sec-medium-id-13/"><span class="list-item-caption">サーバーOS（Linux/Windows）の要塞化（ハーデニング）と不要サービスの停止</span></a> </li> <li class="cat-item cat-item-65"><a href="https://security.intronational.com/category/iot-ot-web3-security/sec-medium-id-57/"><span class="list-item-caption">スマートコントラクトの脆弱性</span></a> </li> <li class="cat-item cat-item-57"><a href="https://security.intronational.com/category/offensive-security/sec-medium-id-49/"><span class="list-item-caption">ペネトレーションテスト手法</span></a> </li> <li class="cat-item cat-item-61"><a href="https://security.intronational.com/category/incident-response-dfir/sec-medium-id-53/"><span class="list-item-caption">メモリフォレンジック</span></a> </li> <li class="cat-item cat-item-30"><a href="https://security.intronational.com/category/cryptography-endpoint-security/sec-medium-id-25/"><span class="list-item-caption">共通鍵暗号（AESなど）と公開鍵暗号（RSA、楕円曲線暗号 ECC）の原理と使い分け</span></a> </li> <li class="cat-item cat-item-42"><a href="https://security.intronational.com/category/governance-ai-security/sec-medium-id-37/"><span class="list-item-caption">情報セキュリティ基本方針の策定とリスクアセスメント（評価手法）</span></a> </li> <li class="cat-item cat-item-4"><a href="https://security.intronational.com/category/cryptography-endpoint-security/"><span class="list-item-caption">暗号理論・認証基盤 & エンドポイントセキュリティ</span></a> </li> <li class="cat-item cat-item-1"><a href="https://security.intronational.com/category/uncategorized/"><span class="list-item-caption">未分類</span></a> </li> </ul></div></aside> </div> </div> </div> </div> <footer id="footer" class="footer footer-container nwa" itemscope itemtype="https://schema.org/WPFooter"> <div id="footer-in" class="footer-in wrap cf"> <div class="footer-bottom fdt-logo fnm-text-width cf"> <div class="footer-bottom-logo"> <div class="logo logo-footer logo-text"><a href="https://security.intronational.com/" class="site-name site-name-text-link" itemprop="url"><span class="site-name-text" itemprop="name about">Webセキュリティ専門の学習</span></a></div> </div> <div class="footer-bottom-content"> <nav id="navi-footer" class="navi-footer" aria-label="フッターメニュー"> <div id="navi-footer-in" class="navi-footer-in"> </div> </nav> <div class="source-org copyright">© 2026 Webセキュリティ専門の学習.</div> </div> </div> </div> </footer> </div> <div id="go-to-top" class="go-to-top"> <button class="go-to-top-button go-to-top-common go-to-top-hide go-to-top-button-icon-font" aria-label="トップへ戻る"><span class="fa fa-angle-double-up"></span></button> </div> <script type="speculationrules"> {"prefetch":[{"source":"document","where":{"and":[{"href_matches":"/*"},{"not":{"href_matches":["/wp-*.php","/wp-admin/*","/wp-content/uploads/*","/wp-content/*","/wp-content/plugins/*","/wp-content/themes/cocoon-child-master/*","/wp-content/themes/cocoon-master/*","/*\\?(.+)"]}},{"not":{"selector_matches":"a[rel~=\"nofollow\"]"}},{"not":{"selector_matches":".no-prefetch, .no-prefetch a"}}]},"eagerness":"conservative"}]} </script> <script id="wp-hooks-js" src="https://security.intronational.com/wp-includes/js/dist/hooks.min.js?ver=f0f188028580e8dc1255&fver=20260820071641"></script> <script id="wp-i18n-js" src="https://security.intronational.com/wp-includes/js/dist/i18n.min.js?ver=1dfe7db3940c23ea9216&fver=20260820071705"></script> <script id="wp-i18n-js-after"> wp.i18n.setLocaleData( { 'text direction\u0004ltr': [ 'ltr' ] } ); //# sourceURL=wp-i18n-js-after </script> <script id="swv-js" src="https://security.intronational.com/wp-content/plugins/contact-form-7/includes/swv/js/index.js?ver=6.1.7&fver=20260912082651"></script> <script id="contact-form-7-js-translations"> ( function( domain, translations ) { var localeData = translations.locale_data[ domain ] || translations.locale_data.messages; localeData[""].domain = domain; wp.i18n.setLocaleData( localeData, domain ); } )( "contact-form-7", {"translation-revision-date":"2025-11-30 08:12:23+0000","generator":"GlotPress\/4.0.3","domain":"messages","locale_data":{"messages":{"":{"domain":"messages","plural-forms":"nplurals=1; plural=0;","lang":"ja_JP"},"This contact form is placed in the wrong place.":["\u3053\u306e\u30b3\u30f3\u30bf\u30af\u30c8\u30d5\u30a9\u30fc\u30e0\u306f\u9593\u9055\u3063\u305f\u4f4d\u7f6e\u306b\u7f6e\u304b\u308c\u3066\u3044\u307e\u3059\u3002"],"Error:":["\u30a8\u30e9\u30fc:"]}},"comment":{"reference":"includes\/js\/index.js"}} ); //# sourceURL=contact-form-7-js-translations </script> <script id="contact-form-7-js-before"> var wpcf7 = { "api": { "root": "https:\/\/security.intronational.com\/wp-json\/", "namespace": "contact-form-7\/v1" } }; //# sourceURL=contact-form-7-js-before </script> <script id="contact-form-7-js" src="https://security.intronational.com/wp-content/plugins/contact-form-7/includes/js/index.js?ver=6.1.7&fver=20260912082651"></script> <script id="cookie-notice-front-js-before"> var cnArgs = {"ajaxUrl":"https:\/\/security.intronational.com\/wp-admin\/admin-ajax.php","nonce":"3e22232a54","hideEffect":"fade","position":"bottom","onScroll":false,"onScrollOffset":100,"onClick":false,"cookieName":"cookie_notice_accepted","cookieTime":2592000,"cookieTimeRejected":2592000,"globalCookie":false,"redirection":false,"cache":false,"revokeCookies":false,"revokeCookiesOpt":"automatic"}; //# sourceURL=cookie-notice-front-js-before </script> <script id="cookie-notice-front-js" src="https://security.intronational.com/wp-content/plugins/cookie-notice/js/front.min.js?ver=3.1.11&fver=20260919125559"></script> <script id="baguettebox-js-js" src="https://security.intronational.com/wp-content/themes/cocoon-master/plugins/baguettebox/dist/baguetteBox.min.js?ver=7.1.2&fver=20260919010327"></script> <script id="baguettebox-js-js-after"> (function($){ baguetteBox.run(".entry-content"); })(jQuery); //# sourceURL=baguettebox-js-js-after </script> <script id="slicknav-js-js" src="https://security.intronational.com/wp-content/themes/cocoon-master/plugins/slicknav/jquery.slicknav.min.js?ver=7.1.2&fver=20260919010327"></script> <script id="slicknav-js-js-after"> (function($){ $(".menu-header").slicknav({ label: "MENU", parentTag: "div", allowParentLinks: true, }); })(jQuery); //# sourceURL=slicknav-js-js-after </script> <script async data-wp-strategy="async" fetchpriority="low" id="comment-reply-js" src="https://security.intronational.com/wp-includes/js/comment-reply.min.js?ver=7.1.2&fver=20260820071727"></script> <script id="cocoon-js-js-extra"> var cocoon_localize_script_options = {"is_lazy_load_enable":null,"is_fixed_mobile_buttons_enable":"","is_google_font_lazy_load_enable":""}; //# sourceURL=cocoon-js-js-extra </script> <script id="cocoon-js-js" src="https://security.intronational.com/wp-content/themes/cocoon-master/javascript.js?ver=7.1.2&fver=20260919010327"></script> <script id="cocoon-group-link-js" src="https://security.intronational.com/wp-content/themes/cocoon-master/js/group-link.js?ver=1789790607&fver=20260919010327"></script> <script id="cocoon-child-js-js" src="https://security.intronational.com/wp-content/themes/cocoon-child-master/javascript.js?ver=7.1.2&fver=20260403104416"></script> <script id="googlesitekit-events-provider-contact-form-7-js" src="https://security.intronational.com/wp-content/plugins/google-site-kit/dist/assets/js/googlesitekit-events-provider-contact-form-7-fac2a8013ba5ba355cd0.js?fver=20260912072614" defer></script> <script id="googlesitekit-events-provider-content-events-js-before"> window._googlesitekit = window._googlesitekit || {}; window._googlesitekit.contentEvents = {"postID":2655,"isSinglePost":true,"hasVimeoEmbed":false}; //# sourceURL=googlesitekit-events-provider-content-events-js-before </script> <script id="googlesitekit-events-provider-content-events-js" src="https://security.intronational.com/wp-content/plugins/google-site-kit/dist/assets/js/googlesitekit-events-provider-content-events-bb83c1a0aedefa5d25d1.js?fver=20260912072614" defer></script>  <div id="cookie-notice" role="dialog" class="cookie-notice-hidden cookie-revoke-hidden cn-position-bottom" aria-label="Cookie Compliance" style="background-color: rgba(50,50,58,1);"><div class="cookie-notice-container" style="color: #fff"><span id="cn-notice-text" class="cn-text-container">よりよいエクスペリエンスを提供するため、当ウェブサイトでは Cookie を使用しています。引き続き閲覧する場合、Cookie の使用を承諾したものとみなされます。</span><span id="cn-notice-buttons" class="cn-buttons-container"><button id="cn-accept-cookie" data-cookie-set="accept" class="cn-set-cookie cn-button" aria-label="OK" style="background-color: #00a99d">OK</button></span><button type="button" id="cn-close-notice" data-cookie-set="accept" class="cn-close-icon" aria-label="いいえ" tabindex="0"></button></div> </div>  <script async src="https://pagead2.googlesyndication.com/pagead/js/adsbygoogle.js?client=ca-pub-7214025567716564" crossorigin="anonymous"></script> <script>!function(d,i){if(!d.getElementById(i)){var j=d.createElement("script");j.id=i;j.src="//assets.pinterest.com/js/pinit_main.js";var w=d.getElementById(i);d.body.appendChild(j);}}(document,"pinterest-btn-js");</script> <div class="copy-info">タイトルとURLをコピーしました</div> <script> (function($){ const selector = '.copy-button';//clipboardで使う要素を指定 $(selector).click(function(event){ //クリック動作をキャンセル event.preventDefault(); //クリップボード動作 navigator.clipboard.writeText($(selector).attr('data-clipboard-text')).then( () => { $('.copy-info').fadeIn(500).delay(1000).fadeOut(500); }); }); })(jQuery); </script> </body> </html>