【実務・中級編】クリックジャッキング対策：X-Frame-OptionsとCSP frame-ancestorsの比較 – アプリケーションセキュリティ & 安全な開発防御ガイド

UIを操る「透明な罠」：クリックジャッキングと現代的防御のベストプラクティス

現場で手を動かしているエンジニア諸君、お疲れ様。今日は、派手なSQLインジェクションやRCEの影に隠れがちだが、極めて悪質で「気づいた時にはもう遅い」攻撃、クリックジャッキング（Clickjacking）について話そう。

多くの開発者は「XSSは防いでいるから大丈夫」と高を括るが、これは全く別物だ。XSSがスクリプトを注入して情報を盗むなら、クリックジャッキングは「ユーザーの指先を乗っ取り、本来の意図とは異なるアクションを強制する」攻撃だ。

1. なぜクリックジャッキングが「終わりの始まり」なのか

攻撃者は、あなたのWebアプリを透明な</code>として自分の攻撃サイト上に配置する。ユーザーが「何かの懸賞に応募するボタン」だと思ってクリックした先には、実はあなたのアプリの「退会ボタン」や「権限付与ボタン」が隠されている。</p> <p>ユーザー側から見れば、自分のブラウザで正規のログイン状態にあるアプリが反応しているだけだから、ログを見ても「本人が操作した」としか記録されない。これが、インシデント対応の現場で最も頭を抱える「正当な権限による不正操作」の正体だ。</p> <h3><span id="toc3">2. レガシー vs モダン：防壁の変遷</span></h3> <p>この攻撃を防ぐための武器は二つある。</p> <ul> <li><b>X-Frame-Options (XFO):</b> 2008年頃の遺産。IE時代からの名残で、ブラウザへの「このページを埋め込ませるな」という命令だ。シンプルだが、柔軟性に欠ける。</li> <li><b>Content Security Policy (CSP) <code>frame-ancestors</code>:</b> 現代の標準。XFOを完全に置き換える能力を持ち、どのドメインからの埋め込みを許可するかを細かく制御できる。</li> </ul> <p><b>結論から言おう。現在は両方を併用するのが鉄則だ。</b> CSPを解釈できない古いブラウザ（今さら使っているユーザーは稀だが）を切り捨てないための多重防御（Defense in Depth）こそが、プロの流儀だ。</p> <h3><span id="toc4">3. 実践：コピペで使えるセキュアな実装</span></h3> <p>サーバーサイドの設定をいじるのが、最も効率的かつ確実だ。</p> <h3><span id="toc5">Nginxでの設定例（推奨）</span></h3> <p>Webサーバーのレスポンスヘッダーに以下の設定を追加してくれ。</p> <p>CSPの設定: 自サイトのみ埋め込みを許可する<br /> add_header Content-Security-Policy “frame-ancestors ‘self’;”;</p> <p>X-Frame-Optionsの設定: レガシーブラウザ向けにSAMEORIGINを指定<br /> add_header X-Frame-Options “SAMEORIGIN” always;</p> <h3><span id="toc6">PHP/Laravelでの実装例</span></h3> <p>フレームワークを使っているなら、ミドルウェアで一括制御するのが正解だ。</p> <p>// Laravelのミドルウェアなどでレスポンスヘッダーに注入<br /> public function handle($request, Closure $next)<br /> {<br /> $response = $next($request);</p> <p> // 自サイト以外からのiframe埋め込みを拒否<br /> $response->headers->set(‘Content-Security-Policy’, “frame-ancestors ‘self’;”);<br /> $response->headers->set(‘X-Frame-Options’, ‘SAMEORIGIN’);</p> <p> return $response;<br /> }</p> <h3><span id="toc7">4. なぜ「SAMEORIGIN」なのか？</span></h3> <p>「とにかく <code>DENY</code> にしてしまえばいいのでは？」と思うかもしれない。だが、自社で複数のサブドメインを運用している場合や、同じ管理画面内でiframeを多用する設計の場合、<code>DENY</code> だと自サイト内の正常な機能すら破壊してしまう。</p> <ul> <li><b><code>DENY</code></b>: 全ての埋め込みを拒否。最も堅牢だが、利便性は皆無。</li> <li><b><code>SAMEORIGIN</code></b>: 同じオリジン（ドメイン・ポート・プロトコルが一致）からの埋め込みのみ許可。実務ではこれが現実的な落とし所だ。</li> </ul> <h3><span id="toc8">5. 現場のセキュリティ担当者からのアドバイス</span></h3> <p>もし君が今から新しいプロジェクトを組むなら、<b>CSPを「Report Only」モードで先に導入してくれ。</b></p> <p><code>Content-Security-Policy-Report-Only</code> ヘッダーを使って、いきなりブロックせずに違反ログを収集するんだ。開発環境やステージングで、どのサードパーティツールがiframeを要求しているのかを把握する。これを行わずにいきなり本番へ強力なポリシーを適用すると、管理画面が真っ白になり、経営層から怒号が飛ぶことになる。</p> <p>セキュリティとは「壊すこと」ではなく「正しく守りながら機能させること」だ。</p> <h3><span id="toc9">最後に</span></h3> <p>クリックジャッキング対策は、設定ファイル数行で完結する「極めてコスパの良い防御」だ。しかし、これだけで安心はしないでくれ。CSRF対策（アンチ偽造トークン）とセットで考えて初めて、ユーザーのセッションは守られる。</p> <p>技術は常に進化する。だが、守るべき「ユーザーの信頼」は不変だ。今日紹介したヘッダー設定が、君のアプリケーションの盾となることを願っている。何か不明点があれば、またいつでも聞いてくれ。</p> </div> <footer class="article-footer entry-footer"> <div class="entry-categories-tags ctdt-one-row"> <div class="entry-categories"><a class="cat-link cat-link-2" href="https://security.intronational.com/category/application-security/"><span class="fa fa-folder cat-icon tax-icon" aria-hidden="true"></span>アプリケーションセキュリティ & 安全な開発</a><a class="cat-link cat-link-8" href="https://security.intronational.com/category/application-security/sec-medium-id-3/"><span class="fa fa-folder cat-icon tax-icon" aria-hidden="true"></span>クロスサイトスクリプティング（XSS）の全種類（反射型・格納型・DOM型）と防御</a></div> </div> <div class="ad-area no-icon ad-content-bottom ad-rectangle ad-label-visible cf" itemscope itemtype="https://schema.org/WPAdBlock"> <div class="ad-label" itemprop="name" data-nosnippet>スポンサーリンク</div> <div class="ad-wrap"> <div class="ad-responsive ad-usual"> <ins class="adsbygoogle" style="display:block" data-ad-client="ca-pub-7214025567716564" data-ad-slot="6558619545" data-ad-format="rectangle" data-full-width-responsive="true"></ins> <script> (adsbygoogle = window.adsbygoogle || []).push({}); </script></div> </div> </div> <div class="sns-share ss-col-3 bc-brand-color sbc-hide ss-bottom"> <div class="sns-share-message">シェアする</div> <div class="sns-share-buttons sns-buttons"> <a href="https://x.com/intent/tweet?text=%E3%80%90%E5%AE%9F%E5%8B%99%E3%83%BB%E4%B8%AD%E7%B4%9A%E7%B7%A8%E3%80%91%E3%82%AF%E3%83%AA%E3%83%83%E3%82%AF%E3%82%B8%E3%83%A3%E3%83%83%E3%82%AD%E3%83%B3%E3%82%B0%E5%AF%BE%E7%AD%96%EF%BC%9AX-Frame-Options%E3%81%A8CSP+frame-ancestors%E3%81%AE%E6%AF%94%E8%BC%83+%E2%80%93+%E3%82%A2%E3%83%97%E3%83%AA%E3%82%B1%E3%83%BC%E3%82%B7%E3%83%A7%E3%83%B3%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3+%26+%E5%AE%89%E5%85%A8%E3%81%AA%E9%96%8B%E7%99%BA%E9%98%B2%E5%BE%A1%E3%82%AC%E3%82%A4%E3%83%89&url=https%3A%2F%2Fsecurity.intronational.com%2F%25e3%2580%2590%25e5%25ae%259f%25e5%258b%2599%25e3%2583%25bb%25e4%25b8%25ad%25e7%25b4%259a%25e7%25b7%25a8%25e3%2580%2591%25e3%2582%25af%25e3%2583%25aa%25e3%2583%2583%25e3%2582%25af%25e3%2582%25b8%25e3%2583%25a3%25e3%2583%2583%25e3%2582%25ad%25e3%2583%25b3%25e3%2582%25b0%25e5%25af%25be%25e7%25ad%2596%25ef%25bc%259ax-frame-opt%2F" class="sns-button share-button twitter-button twitter-share-button-sq x-corp-button x-corp-share-button-sq" target="_blank" title="Xでシェア" rel="nofollow noopener noreferrer" aria-label="Xでシェア"><span class="social-icon icon-x-corp"></span><span class="button-caption">X</span><span class="share-count twitter-share-count x-share-count"></span></a> <a href="//www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fsecurity.intronational.com%2F%25e3%2580%2590%25e5%25ae%259f%25e5%258b%2599%25e3%2583%25bb%25e4%25b8%25ad%25e7%25b4%259a%25e7%25b7%25a8%25e3%2580%2591%25e3%2582%25af%25e3%2583%25aa%25e3%2583%2583%25e3%2582%25af%25e3%2582%25b8%25e3%2583%25a3%25e3%2583%2583%25e3%2582%25ad%25e3%2583%25b3%25e3%2582%25b0%25e5%25af%25be%25e7%25ad%2596%25ef%25bc%259ax-frame-opt%2F&t=%E3%80%90%E5%AE%9F%E5%8B%99%E3%83%BB%E4%B8%AD%E7%B4%9A%E7%B7%A8%E3%80%91%E3%82%AF%E3%83%AA%E3%83%83%E3%82%AF%E3%82%B8%E3%83%A3%E3%83%83%E3%82%AD%E3%83%B3%E3%82%B0%E5%AF%BE%E7%AD%96%EF%BC%9AX-Frame-Options%E3%81%A8CSP+frame-ancestors%E3%81%AE%E6%AF%94%E8%BC%83+%E2%80%93+%E3%82%A2%E3%83%97%E3%83%AA%E3%82%B1%E3%83%BC%E3%82%B7%E3%83%A7%E3%83%B3%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3+%26+%E5%AE%89%E5%85%A8%E3%81%AA%E9%96%8B%E7%99%BA%E9%98%B2%E5%BE%A1%E3%82%AC%E3%82%A4%E3%83%89" class="sns-button share-button facebook-button facebook-share-button-sq" target="_blank" title="Facebookでシェア" rel="nofollow noopener noreferrer" aria-label="Facebookでシェア"><span class="social-icon icon-facebook"></span><span class="button-caption">Facebook</span><span class="share-count facebook-share-count"></span></a> <a href="//b.hatena.ne.jp/entry/s/security.intronational.com/%e3%80%90%e5%ae%9f%e5%8b%99%e3%83%bb%e4%b8%ad%e7%b4%9a%e7%b7%a8%e3%80%91%e3%82%af%e3%83%aa%e3%83%83%e3%82%af%e3%82%b8%e3%83%a3%e3%83%83%e3%82%ad%e3%83%b3%e3%82%b0%e5%af%be%e7%ad%96%ef%bc%9ax-frame-opt/" class="sns-button share-button hatebu-button hatena-bookmark-button hatebu-share-button-sq" data-hatena-bookmark-layout="simple" target="_blank" title="はてブでブックマーク" rel="nofollow noopener noreferrer" aria-label="はてブでブックマーク"><span class="social-icon icon-hatena"></span><span class="button-caption">はてブ</span><span class="share-count hatebu-share-count"></span></a> <a href="//timeline.line.me/social-plugin/share?url=https%3A%2F%2Fsecurity.intronational.com%2F%25e3%2580%2590%25e5%25ae%259f%25e5%258b%2599%25e3%2583%25bb%25e4%25b8%25ad%25e7%25b4%259a%25e7%25b7%25a8%25e3%2580%2591%25e3%2582%25af%25e3%2583%25aa%25e3%2583%2583%25e3%2582%25af%25e3%2582%25b8%25e3%2583%25a3%25e3%2583%2583%25e3%2582%25ad%25e3%2583%25b3%25e3%2582%25b0%25e5%25af%25be%25e7%25ad%2596%25ef%25bc%259ax-frame-opt%2F" class="sns-button share-button line-button line-share-button-sq" target="_blank" title="LINEでシェア" rel="nofollow noopener noreferrer" aria-label="LINEでシェア"><span class="social-icon icon-line"></span><span class="button-caption">LINE</span><span class="share-count line-share-count"></span></a> <a href="//www.pinterest.com/pin/create/button/?url=https%3A%2F%2Fsecurity.intronational.com%2F%25e3%2580%2590%25e5%25ae%259f%25e5%258b%2599%25e3%2583%25bb%25e4%25b8%25ad%25e7%25b4%259a%25e7%25b7%25a8%25e3%2580%2591%25e3%2582%25af%25e3%2583%25aa%25e3%2583%2583%25e3%2582%25af%25e3%2582%25b8%25e3%2583%25a3%25e3%2583%2583%25e3%2582%25ad%25e3%2583%25b3%25e3%2582%25b0%25e5%25af%25be%25e7%25ad%2596%25ef%25bc%259ax-frame-opt%2F" class="sns-button share-button pinterest-button pinterest-share-button-sq" target="_blank" title="Pinterestでシェア" rel="nofollow noopener noreferrer" data-pin-do="buttonBookmark" data-pin-custom="true" aria-label="Pinterestでシェア"><span class="social-icon icon-pinterest"></span><span class="button-caption">Pinterest</span><span class="share-count pinterest-share-count"></span></a> <a role="button" tabindex="0" class="sns-button share-button copy-button copy-share-button-sq" data-clipboard-text="【実務・中級編】クリックジャッキング対策：X-Frame-OptionsとCSP frame-ancestorsの比較 – アプリケーションセキュリティ & 安全な開発防御ガイド https://security.intronational.com/%e3%80%90%e5%ae%9f%e5%8b%99%e3%83%bb%e4%b8%ad%e7%b4%9a%e7%b7%a8%e3%80%91%e3%82%af%e3%83%aa%e3%83%83%e3%82%af%e3%82%b8%e3%83%a3%e3%83%83%e3%82%ad%e3%83%b3%e3%82%b0%e5%af%be%e7%ad%96%ef%bc%9ax-frame-opt/" title="タイトルとURLをコピーする" aria-label="タイトルとURLをコピーする"><span class="social-icon icon-copy"></span><span class="button-caption">コピー</span><span class="share-count copy-share-count"></span></a> </div> </div>  <div class="sns-follow bc-brand-color fbc-hide sf-bottom"> <div class="sns-follow-message">securityintronationalをフォローする</div> <div class="sns-follow-buttons sns-buttons"> <a href="//feedly.com/i/discover/sources/search/feed/https%3A%2F%2Fsecurity.intronational.com" class="sns-button follow-button feedly-button feedly-follow-button-sq" target="_blank" title="feedlyで更新情報を購読" rel="nofollow noopener noreferrer" aria-label="feedlyで更新情報を購読"><span class="icon-feedly-logo"></span><span class="follow-count feedly-follow-count"></span></a> <a href="https://security.intronational.com/feed/" class="sns-button follow-button rss-button rss-follow-button-sq" target="_blank" title="RSSで更新情報を購読" rel="nofollow noopener noreferrer" aria-label="RSSで更新情報を購読"><span class="icon-rss-logo"></span></a> </div> </div> <div class="footer-meta"> <div class="author-info"> <span class="fa fa-pencil" aria-hidden="true"></span> <a href="https://security.intronational.com/author/securityintronational/" class="author-link"> <span class="post-author vcard author" itemprop="editor author creator copyrightHolder" itemscope itemtype="https://schema.org/Person"> <meta itemprop="url" content="https://security.intronational.com/author/securityintronational/"> <span class="author-name fn" itemprop="name">securityintronational</span> </span> </a> </div> </div> </footer> </article> <div class="under-entry-content"> <aside id="related-entries" class="related-entries rect-entry-card"> <h2 class="related-entry-heading"> <span class="related-entry-main-heading main-caption"> 関連記事 </span> </h2> <div class="related-list"> <a href="https://security.intronational.com/%e3%80%90%e5%ae%9f%e5%8b%99%e3%83%bb%e4%b8%ad%e7%b4%9a%e7%b7%a8%e3%80%91%e3%83%91%e3%82%b9%e3%83%af%e3%83%bc%e3%83%89%e3%83%8f%e3%83%83%e3%82%b7%e3%83%a5%e5%8c%96%e3%81%ab%e3%81%8a%e3%81%91%e3%82%8b-2/" class="related-entry-card-wrap a-wrap border-element cf" title="【実務・中級編】パスワードハッシュ化におけるソルトとストレッチングの適切な実装 – アプリケーションセキュリティ & 安全な開発防御ガイド"> <article class="post-1854 related-entry-card e-card cf post type-post status-publish format-standard hentry category-sec-medium-id-1-post category-application-security-post"> <figure class="related-entry-card-thumb card-thumb e-card-thumb"> <img src="http://security.intronational.com/wp-content/uploads/2026/09/security-eyechach.jpg" alt="" class="no-image related-entry-card-no-image" width="320" height="180" /> <span class="cat-label cat-label-6">OWASP Top 10の基本概念と最新動向</span> </figure> <div class="related-entry-card-content card-content e-card-content"> <h3 class="related-entry-card-title card-title e-card-title"> 【実務・中級編】パスワードハッシュ化におけるソルトとストレッチングの適切な実装 – アプリケーションセキュリティ & 安全な開発防御ガイド </h3> <div class="related-entry-card-snippet card-snippet e-card-snippet"> パスワード保護の「現在地」：なぜ今、Argon2への移行が不可欠なのか現場でインシデント対応をしていると、「パスワードをSHA-256でハッシュ化しています」という言葉を聞いて背筋が凍ることがよくある。2024年の今、それをやるのは「家の鍵... </div> </div> </article> </a> <a href="https://security.intronational.com/%e3%80%90%e5%85%a5%e9%96%80%e7%b7%a8%e3%80%91gcp-workload-identity%e3%81%ab%e3%82%88%e3%82%8b%e3%82%b5%e3%83%bc%e3%83%93%e3%82%b9%e3%82%a2%e3%82%ab%e3%82%a6%e3%83%b3%e3%83%88%e3%81%ae%e6%a8%a9/" class="related-entry-card-wrap a-wrap border-element cf" title="【入門編】GCP Workload Identityによるサービスアカウントの権限管理 – アプリケーションセキュリティ & 安全な開発防御ガイド"> <article class="post-1645 related-entry-card e-card cf post type-post status-publish format-standard hentry category-sec-medium-id-1-post category-application-security-post"> <figure class="related-entry-card-thumb card-thumb e-card-thumb"> <img src="http://security.intronational.com/wp-content/uploads/2026/09/security-eyechach.jpg" alt="" class="no-image related-entry-card-no-image" width="320" height="180" /> <span class="cat-label cat-label-6">OWASP Top 10の基本概念と最新動向</span> </figure> <div class="related-entry-card-content card-content e-card-content"> <h3 class="related-entry-card-title card-title e-card-title"> 【入門編】GCP Workload Identityによるサービスアカウントの権限管理 – アプリケーションセキュリティ & 安全な開発防御ガイド </h3> <div class="related-entry-card-snippet card-snippet e-card-snippet"> 鍵束をポケットに詰め込むのはもう終わり！GCP Workload Identityで「本当のセキュリティ」を始めようこんにちは！日々セキュリティの最前線で「いかに泥棒の侵入を食い止めるか」と頭を悩ませているエンジニアです。皆さんの開発現場で... </div> </div> </article> </a> <a href="https://security.intronational.com/%e3%80%90%e5%ae%9f%e5%8b%99%e3%83%bb%e4%b8%ad%e7%b4%9a%e7%b7%a8%e3%80%91url%e3%82%b9%e3%82%ad%e3%83%bc%e3%83%a0%ef%bc%88javascript%ef%bc%89%e3%81%ae%e3%83%95%e3%82%a3%e3%83%ab%e3%82%bf%e3%83%aa/" class="related-entry-card-wrap a-wrap border-element cf" title="【実務・中級編】URLスキーム（javascript:）のフィルタリングと検証 – アプリケーションセキュリティ & 安全な開発防御ガイド"> <article class="post-2601 related-entry-card e-card cf post type-post status-publish format-standard hentry category-application-security-post category-sec-medium-id-3-post"> <figure class="related-entry-card-thumb card-thumb e-card-thumb"> <img src="http://security.intronational.com/wp-content/uploads/2026/09/security-eyechach.jpg" alt="" class="no-image related-entry-card-no-image" width="320" height="180" /> <span class="cat-label cat-label-2">アプリケーションセキュリティ & 安全な開発</span> </figure> <div class="related-entry-card-content card-content e-card-content"> <h3 class="related-entry-card-title card-title e-card-title"> 【実務・中級編】URLスキーム（javascript:）のフィルタリングと検証 – アプリケーションセキュリティ & 安全な開発防御ガイド </h3> <div class="related-entry-card-snippet card-snippet e-card-snippet"> なぜ「javascript:」スキームは、未だに開発者の盲点であり続けるのか「href属性のバリデーションなんて、正規表現でhttpが含まれているか確認すればいいだろう？」もし君がそう考えているなら、今すぐその甘い認識を捨ててくれ。現場のイ... </div> </div> </article> </a> <a href="https://security.intronational.com/%e3%80%90%e5%85%a5%e9%96%80%e7%b7%a8%e3%80%91referrer-policy%e3%81%ab%e3%82%88%e3%82%8b%e6%83%85%e5%a0%b1%e6%bc%8f%e6%b4%a9%e3%81%ae%e6%8a%91%e5%88%b6-%e3%82%a2%e3%83%97%e3%83%aa%e3%82%b1%e3%83%bc/" class="related-entry-card-wrap a-wrap border-element cf" title="【入門編】Referrer-Policyによる情報漏洩の抑制 – アプリケーションセキュリティ & 安全な開発防御ガイド"> <article class="post-2265 related-entry-card e-card cf post type-post status-publish format-standard hentry category-application-security-post category-sec-medium-id-2-post"> <figure class="related-entry-card-thumb card-thumb e-card-thumb"> <img src="http://security.intronational.com/wp-content/uploads/2026/09/security-eyechach.jpg" alt="" class="no-image related-entry-card-no-image" width="320" height="180" /> <span class="cat-label cat-label-2">アプリケーションセキュリティ & 安全な開発</span> </figure> <div class="related-entry-card-content card-content e-card-content"> <h3 class="related-entry-card-title card-title e-card-title"> 【入門編】Referrer-Policyによる情報漏洩の抑制 – アプリケーションセキュリティ & 安全な開発防御ガイド </h3> <div class="related-entry-card-snippet card-snippet e-card-snippet"> 玄関の鍵を閉めても「どこへ行くか」まで覗かれていませんか？：Referrer-Policyの基礎と実践こんにちは。セキュリティの世界で長く泥臭い現場を見てきた者です。今日は、開発現場でつい見落とされがちな「情報の出しすぎ」についてお話ししま... </div> </div> </article> </a> <a href="https://security.intronational.com/%e3%80%90%e5%85%a5%e9%96%80%e7%b7%a8%e3%80%91jsonp%e3%81%ae%e8%84%86%e5%bc%b1%e6%80%a7%e3%81%a8cors%e3%81%b8%e3%81%ae%e7%a7%bb%e8%a1%8c-%e3%82%a2%e3%83%97%e3%83%aa%e3%82%b1%e3%83%bc%e3%82%b7/" class="related-entry-card-wrap a-wrap border-element cf" title="【入門編】JSONPの脆弱性とCORSへの移行 – アプリケーションセキュリティ & 安全な開発防御ガイド"> <article class="post-2278 related-entry-card e-card cf post type-post status-publish format-standard hentry category-application-security-post category-sec-medium-id-2-post"> <figure class="related-entry-card-thumb card-thumb e-card-thumb"> <img src="http://security.intronational.com/wp-content/uploads/2026/09/security-eyechach.jpg" alt="" class="no-image related-entry-card-no-image" width="320" height="180" /> <span class="cat-label cat-label-2">アプリケーションセキュリティ & 安全な開発</span> </figure> <div class="related-entry-card-content card-content e-card-content"> <h3 class="related-entry-card-title card-title e-card-title"> 【入門編】JSONPの脆弱性とCORSへの移行 – アプリケーションセキュリティ & 安全な開発防御ガイド </h3> <div class="related-entry-card-snippet card-snippet e-card-snippet"> こんにちは。セキュリティの世界へようこそ。日々、コードの海を泳ぐエンジニアの皆さん、お疲れ様です。今日は、かつてWebの「魔法の杖」と呼ばれ、今は「パンドラの箱」となってしまったJSONPという技術と、その現代的な後継者であるCORSについ... </div> </div> </article> </a> <a href="https://security.intronational.com/%e3%80%90%e5%ae%9f%e5%8b%99%e3%83%bb%e4%b8%ad%e7%b4%9a%e7%b7%a8%e3%80%91oauth-2-0%e3%81%ab%e3%81%8a%e3%81%91%e3%82%8b%e8%aa%8d%e5%8f%af%e3%82%b3%e3%83%bc%e3%83%89%e6%a8%aa%e5%8f%96%e3%82%8a%e6%94%bb/" class="related-entry-card-wrap a-wrap border-element cf" title="【実務・中級編】OAuth 2.0における認可コード横取り攻撃(Authorization Code Interception)の防止策 – アプリケーションセキュリティ & 安全な開発防御ガイド"> <article class="post-1676 related-entry-card e-card cf post type-post status-publish format-standard hentry category-sec-medium-id-1-post category-application-security-post"> <figure class="related-entry-card-thumb card-thumb e-card-thumb"> <img src="http://security.intronational.com/wp-content/uploads/2026/09/security-eyechach.jpg" alt="" class="no-image related-entry-card-no-image" width="320" height="180" /> <span class="cat-label cat-label-6">OWASP Top 10の基本概念と最新動向</span> </figure> <div class="related-entry-card-content card-content e-card-content"> <h3 class="related-entry-card-title card-title e-card-title"> 【実務・中級編】OAuth 2.0における認可コード横取り攻撃(Authorization Code Interception)の防止策 – アプリケーションセキュリティ & 安全な開発防御ガイド </h3> <div class="related-entry-card-snippet card-snippet e-card-snippet"> OAuth 2.0の「認可コード横取り」を許すな：PKCE実装で守る認証の最前線現場で多くのインシデントを見てきたが、未だに「OAuthはライブラリを入れて終わり」と考えているエンジニアが多すぎる。特にモバイルアプリやSPA（Single ... </div> </div> </article> </a> </div> </aside> <div class="ad-area no-icon ad-below-related-posts ad-rectangle ad-label-visible cf" itemscope itemtype="https://schema.org/WPAdBlock"> <div class="ad-label" itemprop="name" data-nosnippet>スポンサーリンク</div> <div class="ad-wrap"> <div class="ad-responsive ad-usual"> <ins class="adsbygoogle" style="display:block" data-ad-client="ca-pub-7214025567716564" data-ad-slot="6558619545" data-ad-format="rectangle" data-full-width-responsive="true"></ins> <script> (adsbygoogle = window.adsbygoogle || []).push({}); </script></div> </div> </div> <div id="pager-post-navi" class="pager-post-navi post-navi-default cf"> <a href="https://security.intronational.com/%e3%80%90%e5%85%a5%e9%96%80%e7%b7%a8%e3%80%91%e3%82%af%e3%83%aa%e3%83%83%e3%82%af%e3%82%b8%e3%83%a3%e3%83%83%e3%82%ad%e3%83%b3%e3%82%b0%e5%af%be%e7%ad%96%ef%bc%9ax-frame-options%e3%81%a8csp-frame-ance/" title="【入門編】クリックジャッキング対策：X-Frame-OptionsとCSP frame-ancestorsの比較 – アプリケーションセキュリティ & 安全な開発防御ガイド" class="prev-post a-wrap border-element cf"> <div class="fa fa-chevron-left iconfont" aria-hidden="true"></div> <figure class="prev-post-thumb card-thumb"><img src="http://security.intronational.com/wp-content/uploads/2026/09/security-eyechach.jpg" alt="" class="no-image post-navi-no-image" width="240" height="135" /></figure> <div class="prev-post-title">【入門編】クリックジャッキング対策：X-Frame-OptionsとCSP frame-ancestorsの比較 – アプリケーションセキュリティ & 安全な開発防御ガイド</div></a><a href="https://security.intronational.com/%e3%80%90%e3%83%86%e3%82%af%e3%83%8b%e3%82%ab%e3%83%ab%e3%83%bb%e4%b8%8a%e7%b4%9a%e7%b7%a8%e3%80%91%e3%82%af%e3%83%aa%e3%83%83%e3%82%af%e3%82%b8%e3%83%a3%e3%83%83%e3%82%ad%e3%83%b3%e3%82%b0%e5%af%be/" title="【テクニカル・上級編】クリックジャッキング対策：X-Frame-OptionsとCSP frame-ancestorsの比較 – アプリケーションセキュリティ & 安全な開発防御ガイド" class="next-post a-wrap cf"> <div class="fa fa-chevron-right iconfont" aria-hidden="true"></div> <figure class="next-post-thumb card-thumb"> <img src="http://security.intronational.com/wp-content/uploads/2026/09/security-eyechach.jpg" alt="" class="no-image post-navi-no-image" width="240" height="135" /></figure> <div class="next-post-title">【テクニカル・上級編】クリックジャッキング対策：X-Frame-OptionsとCSP frame-ancestorsの比較 – アプリケーションセキュリティ & 安全な開発防御ガイド</div></a> </div>  <div id="comment-area" class="comment-area"> <section class="comment-list"> <h2 id="comments" class="comment-title"> コメント </h2> </section> <aside class="comment-form-wrap"> <button type="button" id="comment-reply-btn" class="comment-btn key-btn">コメントを書き込む</button> <div id="respond" class="comment-respond"> <h3 id="reply-title" class="comment-reply-title">コメントをどうぞ <small><a rel="nofollow" id="cancel-comment-reply-link" href="/%e3%80%90%e5%ae%9f%e5%8b%99%e3%83%bb%e4%b8%ad%e7%b4%9a%e7%b7%a8%e3%80%91%e3%82%af%e3%83%aa%e3%83%83%e3%82%af%e3%82%b8%e3%83%a3%e3%83%83%e3%82%ad%e3%83%b3%e3%82%b0%e5%af%be%e7%ad%96%ef%bc%9ax-frame-opt/#respond" style="display:none;">コメントをキャンセル</a></small></h3><form action="https://security.intronational.com/wp-comments-post.php" method="post" id="commentform" class="comment-form"><p class="comment-notes"><span id="email-notes">メールアドレスが公開されることはありません。</span> <span class="required">※</span> が付いている欄は必須項目です</p><p class="comment-form-comment"><label for="comment">コメント <span class="required">※</span></label> <textarea id="comment" name="comment" cols="45" rows="8" maxlength="65525" required="required"></textarea></p><p class="comment-form-author"><label for="author">名前 <span class="required">※</span></label> <input id="author" name="author" type="text" value="" size="30" maxlength="245" autocomplete="name" required="required" /></p> <p class="comment-form-email"><label for="email">メール <span class="required">※</span></label> <input id="email" name="email" type="text" value="" size="30" maxlength="100" aria-describedby="email-notes" autocomplete="email" required="required" /></p> <p class="comment-form-url"><label for="url">サイト</label> <input id="url" name="url" type="text" value="" size="30" maxlength="200" autocomplete="url" /></p> <p class="comment-form-cookies-consent"><input id="wp-comment-cookies-consent" name="wp-comment-cookies-consent" type="checkbox" value="yes" /> <label for="wp-comment-cookies-consent">次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。</label></p> <p class="form-submit"><input name="submit" type="submit" id="submit" class="submit" value="コメントを送信" /> <input type='hidden' name='comment_post_ID' value='2673' id='comment_post_ID' /> <input type='hidden' name='comment_parent' id='comment_parent' value='0' /> </p></form> </div> </aside></div> </div> <div id="breadcrumb" class="breadcrumb breadcrumb-category sbp-main-bottom" itemscope itemtype="https://schema.org/BreadcrumbList"><div class="breadcrumb-home" itemscope itemtype="https://schema.org/ListItem" itemprop="itemListElement"><span class="fa fa-home fa-fw" aria-hidden="true"></span><a href="https://security.intronational.com" itemprop="item"><span itemprop="name" class="breadcrumb-caption">ホーム</span></a><meta itemprop="position" content="1" /></div><div class="breadcrumb-item" itemscope itemtype="https://schema.org/ListItem" itemprop="itemListElement"><span class="sp"><span class="fa fa-angle-right" aria-hidden="true"></span></span><span class="fa fa-folder fa-fw" aria-hidden="true"></span><a href="https://security.intronational.com/category/application-security/" itemprop="item"><span itemprop="name" class="breadcrumb-caption">アプリケーションセキュリティ & 安全な開発</span></a><meta itemprop="position" content="2" /></div></div> </main> <div id="sidebar" class="sidebar nwa cf" role="complementary"> <div class="ad-area no-icon ad-sidebar-top ad-auto ad-label-invisible cf" itemscope itemtype="https://schema.org/WPAdBlock"> <div class="ad-label" itemprop="name" data-nosnippet>スポンサーリンク</div> <div class="ad-wrap"> <div class="ad-responsive ad-usual"> <ins class="adsbygoogle" style="display:block" data-ad-client="ca-pub-7214025567716564" data-ad-slot="6558619545" data-ad-format="auto" data-full-width-responsive="true"></ins> <script> (adsbygoogle = window.adsbygoogle || []).push({}); </script></div> </div> </div> <aside id="block-2" class="widget widget-sidebar widget-sidebar-standard widget_block widget_search"><form role="search" method="get" action="https://security.intronational.com/" class="wp-block-search__button-outside wp-block-search__text-button wp-block-search" ><label class="wp-block-search__label" for="wp-block-search__input-2" >検索</label><div class="wp-block-search__inside-wrapper" ><input class="wp-block-search__input" id="wp-block-search__input-2" placeholder="" value="" type="search" name="s" required /><button aria-label="検索" class="wp-block-search__button wp-element-button" type="submit" >検索</button></div></form></aside> <div id="sidebar-scroll" class="sidebar-scroll"> <aside id="block-6" class="widget widget-sidebar widget-sidebar-scroll widget_block"><div class="wp-block-group is-layout-flow wp-block-group-is-layout-flow"><h2 class="wp-block-heading">カテゴリー</h2><ul class="wp-block-categories-list wp-block-categories-taxonomy-category wp-block-categories"> <li class="cat-item cat-item-56"><a href="https://security.intronational.com/category/iot-ot-web3-security/"><span class="list-item-caption">IoT・OT（制御システム） & ブロックチェーンセキュリティ</span></a> </li> <li class="cat-item cat-item-6"><a href="https://security.intronational.com/category/application-security/sec-medium-id-1/"><span class="list-item-caption">OWASP Top 10の基本概念と最新動向</span></a> </li> <li class="cat-item cat-item-2"><a href="https://security.intronational.com/category/application-security/"><span class="list-item-caption">アプリケーションセキュリティ & 安全な開発</span></a> </li> <li class="cat-item cat-item-55"><a href="https://security.intronational.com/category/incident-response-dfir/"><span class="list-item-caption">インシデントレスポンス & フォレンジック（DFIR）</span></a> </li> <li class="cat-item cat-item-7"><a href="https://security.intronational.com/category/application-security/sec-medium-id-2/"><span class="list-item-caption">インジェクション攻撃（SQLi, OSコマンドなど）のメカニズムと対策</span></a> </li> <li class="cat-item cat-item-3"><a href="https://security.intronational.com/category/infrastructure-cloud-security/"><span class="list-item-caption">インフラ・ネットワーク & クラウドセキュリティ</span></a> </li> <li class="cat-item cat-item-54"><a href="https://security.intronational.com/category/offensive-security/"><span class="list-item-caption">オフェンシブセキュリティ & リバースエンジニアリング</span></a> </li> <li class="cat-item cat-item-5"><a href="https://security.intronational.com/category/governance-ai-security/"><span class="list-item-caption">ガバナンス・リスク管理 & 生成AIセキュリティ</span></a> </li> <li class="cat-item cat-item-8"><a href="https://security.intronational.com/category/application-security/sec-medium-id-3/"><span class="list-item-caption">クロスサイトスクリプティング（XSS）の全種類（反射型・格納型・DOM型）と防御</span></a> </li> <li class="cat-item cat-item-18"><a href="https://security.intronational.com/category/infrastructure-cloud-security/sec-medium-id-13/"><span class="list-item-caption">サーバーOS（Linux/Windows）の要塞化（ハーデニング）と不要サービスの停止</span></a> </li> <li class="cat-item cat-item-65"><a href="https://security.intronational.com/category/iot-ot-web3-security/sec-medium-id-57/"><span class="list-item-caption">スマートコントラクトの脆弱性</span></a> </li> <li class="cat-item cat-item-57"><a href="https://security.intronational.com/category/offensive-security/sec-medium-id-49/"><span class="list-item-caption">ペネトレーションテスト手法</span></a> </li> <li class="cat-item cat-item-61"><a href="https://security.intronational.com/category/incident-response-dfir/sec-medium-id-53/"><span class="list-item-caption">メモリフォレンジック</span></a> </li> <li class="cat-item cat-item-30"><a href="https://security.intronational.com/category/cryptography-endpoint-security/sec-medium-id-25/"><span class="list-item-caption">共通鍵暗号（AESなど）と公開鍵暗号（RSA、楕円曲線暗号 ECC）の原理と使い分け</span></a> </li> <li class="cat-item cat-item-42"><a href="https://security.intronational.com/category/governance-ai-security/sec-medium-id-37/"><span class="list-item-caption">情報セキュリティ基本方針の策定とリスクアセスメント（評価手法）</span></a> </li> <li class="cat-item cat-item-4"><a href="https://security.intronational.com/category/cryptography-endpoint-security/"><span class="list-item-caption">暗号理論・認証基盤 & エンドポイントセキュリティ</span></a> </li> <li class="cat-item cat-item-1"><a href="https://security.intronational.com/category/uncategorized/"><span class="list-item-caption">未分類</span></a> </li> </ul></div></aside> </div> </div> </div> </div> <footer id="footer" class="footer footer-container nwa" itemscope itemtype="https://schema.org/WPFooter"> <div id="footer-in" class="footer-in wrap cf"> <div class="footer-bottom fdt-logo fnm-text-width cf"> <div class="footer-bottom-logo"> <div class="logo logo-footer logo-text"><a href="https://security.intronational.com/" class="site-name site-name-text-link" itemprop="url"><span class="site-name-text" itemprop="name about">Webセキュリティ専門の学習</span></a></div> </div> <div class="footer-bottom-content"> <nav id="navi-footer" class="navi-footer" aria-label="フッターメニュー"> <div id="navi-footer-in" class="navi-footer-in"> </div> </nav> <div class="source-org copyright">© 2026 Webセキュリティ専門の学習.</div> </div> </div> </div> </footer> </div> <div id="go-to-top" class="go-to-top"> <button class="go-to-top-button go-to-top-common go-to-top-hide go-to-top-button-icon-font" aria-label="トップへ戻る"><span class="fa fa-angle-double-up"></span></button> </div> <script type="speculationrules"> {"prefetch":[{"source":"document","where":{"and":[{"href_matches":"/*"},{"not":{"href_matches":["/wp-*.php","/wp-admin/*","/wp-content/uploads/*","/wp-content/*","/wp-content/plugins/*","/wp-content/themes/cocoon-child-master/*","/wp-content/themes/cocoon-master/*","/*\\?(.+)"]}},{"not":{"selector_matches":"a[rel~=\"nofollow\"]"}},{"not":{"selector_matches":".no-prefetch, .no-prefetch a"}}]},"eagerness":"conservative"}]} </script> <script id="wp-hooks-js" src="https://security.intronational.com/wp-includes/js/dist/hooks.min.js?ver=f0f188028580e8dc1255&fver=20260820071641"></script> <script id="wp-i18n-js" src="https://security.intronational.com/wp-includes/js/dist/i18n.min.js?ver=1dfe7db3940c23ea9216&fver=20260820071705"></script> <script id="wp-i18n-js-after"> wp.i18n.setLocaleData( { 'text direction\u0004ltr': [ 'ltr' ] } ); //# sourceURL=wp-i18n-js-after </script> <script id="swv-js" src="https://security.intronational.com/wp-content/plugins/contact-form-7/includes/swv/js/index.js?ver=6.1.7&fver=20260912082651"></script> <script id="contact-form-7-js-translations"> ( function( domain, translations ) { var localeData = translations.locale_data[ domain ] || translations.locale_data.messages; localeData[""].domain = domain; wp.i18n.setLocaleData( localeData, domain ); } )( "contact-form-7", {"translation-revision-date":"2025-11-30 08:12:23+0000","generator":"GlotPress\/4.0.3","domain":"messages","locale_data":{"messages":{"":{"domain":"messages","plural-forms":"nplurals=1; plural=0;","lang":"ja_JP"},"This contact form is placed in the wrong place.":["\u3053\u306e\u30b3\u30f3\u30bf\u30af\u30c8\u30d5\u30a9\u30fc\u30e0\u306f\u9593\u9055\u3063\u305f\u4f4d\u7f6e\u306b\u7f6e\u304b\u308c\u3066\u3044\u307e\u3059\u3002"],"Error:":["\u30a8\u30e9\u30fc:"]}},"comment":{"reference":"includes\/js\/index.js"}} ); //# sourceURL=contact-form-7-js-translations </script> <script id="contact-form-7-js-before"> var wpcf7 = { "api": { "root": "https:\/\/security.intronational.com\/wp-json\/", "namespace": "contact-form-7\/v1" } }; //# sourceURL=contact-form-7-js-before </script> <script id="contact-form-7-js" src="https://security.intronational.com/wp-content/plugins/contact-form-7/includes/js/index.js?ver=6.1.7&fver=20260912082651"></script> <script id="cookie-notice-front-js-before"> var cnArgs = {"ajaxUrl":"https:\/\/security.intronational.com\/wp-admin\/admin-ajax.php","nonce":"3e22232a54","hideEffect":"fade","position":"bottom","onScroll":false,"onScrollOffset":100,"onClick":false,"cookieName":"cookie_notice_accepted","cookieTime":2592000,"cookieTimeRejected":2592000,"globalCookie":false,"redirection":false,"cache":false,"revokeCookies":false,"revokeCookiesOpt":"automatic"}; //# sourceURL=cookie-notice-front-js-before </script> <script id="cookie-notice-front-js" src="https://security.intronational.com/wp-content/plugins/cookie-notice/js/front.min.js?ver=3.1.11&fver=20260919125559"></script> <script id="baguettebox-js-js" src="https://security.intronational.com/wp-content/themes/cocoon-master/plugins/baguettebox/dist/baguetteBox.min.js?ver=7.1.2&fver=20260919010327"></script> <script id="baguettebox-js-js-after"> (function($){ baguetteBox.run(".entry-content"); })(jQuery); //# sourceURL=baguettebox-js-js-after </script> <script id="slicknav-js-js" src="https://security.intronational.com/wp-content/themes/cocoon-master/plugins/slicknav/jquery.slicknav.min.js?ver=7.1.2&fver=20260919010327"></script> <script id="slicknav-js-js-after"> (function($){ $(".menu-header").slicknav({ label: "MENU", parentTag: "div", allowParentLinks: true, }); })(jQuery); //# sourceURL=slicknav-js-js-after </script> <script async data-wp-strategy="async" fetchpriority="low" id="comment-reply-js" src="https://security.intronational.com/wp-includes/js/comment-reply.min.js?ver=7.1.2&fver=20260820071727"></script> <script id="cocoon-js-js-extra"> var cocoon_localize_script_options = {"is_lazy_load_enable":null,"is_fixed_mobile_buttons_enable":"","is_google_font_lazy_load_enable":""}; //# sourceURL=cocoon-js-js-extra </script> <script id="cocoon-js-js" src="https://security.intronational.com/wp-content/themes/cocoon-master/javascript.js?ver=7.1.2&fver=20260919010327"></script> <script id="cocoon-group-link-js" src="https://security.intronational.com/wp-content/themes/cocoon-master/js/group-link.js?ver=1789790607&fver=20260919010327"></script> <script id="cocoon-child-js-js" src="https://security.intronational.com/wp-content/themes/cocoon-child-master/javascript.js?ver=7.1.2&fver=20260403104416"></script> <script id="googlesitekit-events-provider-contact-form-7-js" src="https://security.intronational.com/wp-content/plugins/google-site-kit/dist/assets/js/googlesitekit-events-provider-contact-form-7-fac2a8013ba5ba355cd0.js?fver=20260912072614" defer></script> <script id="googlesitekit-events-provider-content-events-js-before"> window._googlesitekit = window._googlesitekit || {}; window._googlesitekit.contentEvents = {"postID":2673,"isSinglePost":true,"hasVimeoEmbed":false}; //# sourceURL=googlesitekit-events-provider-content-events-js-before </script> <script id="googlesitekit-events-provider-content-events-js" src="https://security.intronational.com/wp-content/plugins/google-site-kit/dist/assets/js/googlesitekit-events-provider-content-events-bb83c1a0aedefa5d25d1.js?fver=20260912072614" defer></script>  <div id="cookie-notice" role="dialog" class="cookie-notice-hidden cookie-revoke-hidden cn-position-bottom" aria-label="Cookie Compliance" style="background-color: rgba(50,50,58,1);"><div class="cookie-notice-container" style="color: #fff"><span id="cn-notice-text" class="cn-text-container">よりよいエクスペリエンスを提供するため、当ウェブサイトでは Cookie を使用しています。引き続き閲覧する場合、Cookie の使用を承諾したものとみなされます。</span><span id="cn-notice-buttons" class="cn-buttons-container"><button id="cn-accept-cookie" data-cookie-set="accept" class="cn-set-cookie cn-button" aria-label="OK" style="background-color: #00a99d">OK</button></span><button type="button" id="cn-close-notice" data-cookie-set="accept" class="cn-close-icon" aria-label="いいえ" tabindex="0"></button></div> </div>  <script async src="https://pagead2.googlesyndication.com/pagead/js/adsbygoogle.js?client=ca-pub-7214025567716564" crossorigin="anonymous"></script> <script>!function(d,i){if(!d.getElementById(i)){var j=d.createElement("script");j.id=i;j.src="//assets.pinterest.com/js/pinit_main.js";var w=d.getElementById(i);d.body.appendChild(j);}}(document,"pinterest-btn-js");</script> <div class="copy-info">タイトルとURLをコピーしました</div> <script> (function($){ const selector = '.copy-button';//clipboardで使う要素を指定 $(selector).click(function(event){ //クリック動作をキャンセル event.preventDefault(); //クリップボード動作 navigator.clipboard.writeText($(selector).attr('data-clipboard-text')).then( () => { $('.copy-info').fadeIn(500).delay(1000).fadeOut(500); }); }); })(jQuery); </script> </body> </html>