アプリケーションセキュリティ & 安全な開発

XSSは「防ぐ」だけでなく「狩る」ものだ：WAFとSIEMで構築する攻撃検知の最前線「XSSなんて今さら教えることあるか？」と思うかもしれない。確かに、htmlspecialchars()やDOMPurifyを正しく使えば脆弱性は防げる。し...

泥棒が「合鍵」を作るのを防げ！XSS攻撃とログ分析の現場からこんにちは。セキュリティの世界へようこそ。「XSS（クロスサイトスクリプティング）」という言葉、セキュリティの入門書で必ずと言っていいほど見かけますよね。でも、教科書通りの説明を読...

テンプレートエンジンの「自動エスケープ」は銀の弾丸か：XSS深層防衛のアーキテクチャ多くの開発者が「Jinja2やThymeleafを使っているからXSSは安全だ」と安直に考えている。だが、実戦の現場で私がレビューするコードの多くは、その信...

テンプレートエンジンの「自動エスケープ」を過信するな：XSSを防ぐための防弾設計現場でインシデント対応をしていると、「うちはモダンなフレームワークを使っているからXSSなんて起きない」と胸を張るエンジニアに出くわすことがある。だが、残念なが...

玄関の鍵を自分で外してはいけない：テンプレートエンジンの「自動エスケープ」が守るあなたのサイトこんにちは。現場でセキュリティの最前線に立っているエンジニアです。今日は、Web開発の現場で避けては通れない「XSS（クロスサイトスクリプティング...

XSS防御の終焉と再生：DOMPurifyを「ただのライブラリ」で終わらせないための設計思想Webアプリケーションの脆弱性診断において、XSS（クロスサイトスクリプティング）はもはや「古典」として片付けられがちだ。しかし、現場の最前線に立つ...

XSSの「教科書」はもう捨てろ：現場で通用するDOMPurify防御の深層「サニタイズしてますから大丈夫です」。コードレビューでこの言葉を聞くたび、私は背筋が凍る思いがする。htmlspecialchars() を適当に使って「はい、XSS...

「悪意あるスクリプト」を玄関で追い返せ！XSS対策とDOMPurifyの正しい使い方こんにちは。セキュリティの現場で長年、泥臭いインシデントと戦い続けているエンジニアです。今日は、Web開発の現場で避けては通れない「クロスサイトスクリプティ...

こんにちは。セキュリティの世界へようこそ。現場で泥臭いインシデント対応をしていると、「完璧な要塞なんて存在しない」という現実に直面します。でもね、だからこそ「最低限、泥棒に窓を全開で放置しない」という基本的な心がけが、あなたのプロジェクトを...

XSSのその先へ：HttpOnly属性を「ただの定石」と侮るな「HttpOnlyを付与せよ」。この言葉はセキュリティガイドラインの第1章に書かれるような、いわば「挨拶」のようなものだ。しかし、世界中のインシデント現場で死屍累々たるセッション...