アプリケーションセキュリティ & 安全な開発

あなたの「家の鍵」は丸見えになっていませんか？XSSとHttpOnlyで守るセッションの鉄則こんにちは！セキュリティの世界へようこそ。システム開発の現場で「セキュリティ」と聞くと、なんだか難しそうで、教科書を広げた瞬間に眠くなってしまう……...

eval() との決別：JavaScriptにおける動的実行が招く「境界なき悪夢」現場でコードレビューをしていると、今でも時折、魔が差したかのような eval() や、文字列を引数に取る setTimeout() に遭遇する。これらは単なる...

「eval()は悪魔の扉」― 動的コード実行が引き起こす惨劇と、明日から捨てるべき悪しき習慣現場でコードレビューをしていると、未だに eval() を使った実装に出くわすことがある。「動的に処理を切り替えたい」「JSONのパースが面倒だった...

その「魔法の箱」、実は泥棒の入り口かもしれません。JavaScriptの危険な関数を封印しようこんにちは。セキュリティの世界へようこそ。今日は、プログラミングを始めたばかりの方がつい使いがちな「魔法の関数」のお話です。皆さんは、家の玄関に「...

DOMの深淵：innerHTMLが招く「境界の崩壊」とtextContentによる防御哲学セキュリティアーキテクトとして数多のインシデントレスポンスに立ち会ってきたが、結局のところ、多くの脆弱性は「データと命令の境界」を曖昧にした瞬間に生ま...

なぜ、その「innerHTML」があなたのシステムを沈没させるのか？現場でコードレビューをしていると、未だに「とりあえずこれで動くから」と innerHTML を多用しているエンジニアによく出会う。正直に言おう。そのコードは、あなたのアプリ...

「そのHTML、本当に安全？」JavaScriptのDOM操作で泥棒を招かないための心得こんにちは！現場でセキュリティの最前線に立っていると、「便利な道具ほど、扱いを間違えると凶器になる」という場面に何度も遭遇します。今日は、フロントエンド...

テンプレートエンジンの「自動エスケープ」という甘い罠：防御の境界線を見極める多くのエンジニアが「Jinja2やThymeleafを使っていればXSSは安泰だ」と信じ込んでいる。だが、現場で数多のペネトレーションテストを指揮してきた経験から言...

テンプレートエンジンの「自動エスケープ」を過信するな：脆弱性を生む「意図的な落とし穴」の正体現場でコードレビューをしていると、若手エンジニアから「Jinja2やThymeleafを使っているから、XSS（クロスサイトスクリプティング）は自動...

テンプレートエンジンの「自動エスケープ」は万能の鍵ではない？安全な開発の落とし穴を徹底解説！こんにちは。セキュリティの現場に長くいると、「最新のフレームワークを使っているから、セキュリティ対策はバッチリだよね？」という言葉をよく耳にします。...