【テクニカル・上級編】JSONPの脆弱性とCORS(Cross-Origin Resource Sharing)への移行 – アプリケーションセキュリティ & 安全な開発防御ガイド

JSONPの亡霊とCORSの誤解：現代のアプリケーション・セキュリティ・アーキテクトが直視すべき「境界」の真実

かつてWeb開発の現場で「魔法の杖」としてもてはやされたJSONP（JSON with Padding）。しかし、現代のセキュリティアーキテクトにとって、それは「脆弱性の温床」という名の負の遺産に他なりません。

今日は、なぜJSONPがXSS（クロスサイトスクリプティング）の引き金となり、CORS（Cross-Origin Resource Sharing）への完全移行が単なる「推奨」ではなく「防衛上の必須要件」なのか、その深層を紐解いていきます。

—

1. JSONPの罪：なぜ「スクリプトの動的生成」が致命的なのか

JSONPがXSSを誘発する根本原因は、そのアーキテクチャにあります。JSONPは、JSONデータを