アプリケーションセキュリティ & 安全な開発

こんにちは。セキュリティの世界へようこそ。日々、見えない脅威と戦っているエンジニアの皆さん、お疲れ様です。今日は、Webアプリ開発において「避けては通れないけれど、意外と勘違いされやすい」CSRF（クロスサイトリクエストフォージェリ）、特に...

OAuth 2.0の「暗黙的フロー」を葬る：なぜ我々はPKCEを義務化せざるを得ないのかOAuth 2.0の「暗黙的フロー（Implicit Flow）」が、セキュリティの歴史書から抹消されようとしている。これを「単なる仕様変更」と捉えてい...

OAuth 2.0「暗黙的フロー」はなぜ死んだのか？今すぐPKCEへ移行すべき技術的根拠と実装ガイド現場でコードをレビューしていると、いまだに「手軽だから」という理由でOAuth 2.0の暗黙的フロー（Implicit Flow）を実装して...

もう「暗黙的フロー」は古い？OAuth 2.0の安全な歩き方を解説します！こんにちは！現場で泥臭くセキュリティと向き合っているエンジニアです。今日は、Web開発の世界で昔は「便利で簡単」ともてはやされた「暗黙的フロー（Implicit Fl...

JWTの「ステートレス」という幻想と、失効管理のリアリティJWT（JSON Web Token）を語る際、多くのエンジニアは「ステートレスでスケーラブル」という美辞麗句に酔いしれる。しかし、現場でインシデント対応の最前線に立つ我々からすれば...

JWTの「ステートレス」という甘い罠：失効管理をサボるエンジニアが迎える結末「JWTはサーバー側で状態を持たないからスケーラブルだ」。確かにその通りだ。しかし、この設計思想を教条的に信じすぎた結果、重大なインシデントに直結するケースを私は山...

「一度渡した鍵は返せない」？JWTの盲点と、私たちが作るべき「無効化リスト」の仕組みこんにちは。現場の最前線でセキュリティと向き合っていると、「JWT（JSON Web Token）はステートレス（状態を持たない）で楽だから」という理由だけ...

OAuth 2.0の「隙間」を突く：Open Redirectと厳密な検証の深淵OAuth 2.0の仕様書（RFC 6749）を読み込んでいるつもりでも、いざ実装の現場に立つと、多くのエンジニアが「利便性」という名の悪魔に魂を売り、redi...

OAuth 2.0の「リダイレクト地獄」を断ち切る：Open Redirectを許さない実装の極意現場でコードをレビューしていると、いまだに「なぜこんな単純な穴を放置するんだ？」と頭を抱える瞬間がある。特にOAuth 2.0の redire...

「ログインしたはずが、怪しいサイトへ…？」OAuth 2.0の落とし穴と、正しい鍵の作り方こんにちは！セキュリティの世界へようこそ。皆さんは普段、Webサイトで「Googleでログイン」や「Twitter（X）でログイン」といったボタンをよ...