アプリケーションセキュリティ & 安全な開発

「入力値バリデーションはブラックリストでいいや」が招く悲劇：ホワイトリスト方式による鉄壁の守り方現場でコードレビューをしていると、未だに「この文字は危険だから弾こう」というブラックリスト方式でバリデーションを実装している例を見かける。正直に...

泥棒は「窓の隙間」を見逃さない。Webアプリの守りを固める「ホワイトリスト」の極意こんにちは。セキュリティの現場で日々、複雑なインシデントと向き合っているエンジニアです。今日は、Webアプリケーションを守るための最も基本的でありながら、最も...

境界防衛の幻想を捨てろ：SQLインジェクションを「無効化」するデータアクセス設計多くのシニアエンジニアが、SQLインジェクション対策として「プリペアドステートメントを使え」という教科書的な教義を信じ切っている。確かに、アプリケーションコード...

「データベースに権限をやりすぎない」という最強の防御術：SQLiを致命傷にしないための設計論現場のエンジニア諸君、お疲れ様。今日もどこかで脆弱性が叩かれているかもしれないな。さて、今日は「SQLインジェクション（SQLi）」の対策について話...

家の鍵は「全部開けっ放し」にしていませんか？SQLインジェクションと権限設定の基本こんにちは！セキュリティの世界へようこそ。今日は、開発現場で避けて通れない「SQLインジェクション」という攻撃と、その被害を最小限にするための「データベース権...

ORMの「魔法」を信じるな：Raw SQLの誘惑と、地獄へのゲートウェイ多くのテックリードが「ORMを使っているからSQLインジェクションは無縁だ」と嘯（うそぶ）く現場に、私はこれまで何度遭遇してきただろうか。彼らは抽象化レイヤーという名の...

ORMは「魔法の杖」ではない：SQLインジェクションを招くRaw Queryの罠「ORMを使っているからSQLインジェクションなんて関係ない」。もし君がそう思っているなら、今すぐその考えを捨ててほしい。現場で数多のインシデントを見てきたが、...

「ORMを使っているから大丈夫」という油断が招く罠：SQLインジェクションの本当の正体こんにちは！セキュリティの世界へようこそ。「ORM（Object-Relational Mapping）を使っているから、SQLインジェクションなんて関係...

境界線を揺らす音なき侵入：ブラインドSQLiの解剖と、その先にある「アーキテクチャの死角」エンジニア諸君。ログを眺めて「エラーが何も出ていないから安全だ」と胸を撫で下ろしているなら、今すぐその思考を捨てろ。攻撃者は、君たちが意図的に隠蔽した...

ブラインドSQLi：沈黙するデータベースからの「問いかけ」を封じ込める技術現場でインシデント対応をしていると、「うちはエラー表示をオフにしているからSQLインジェクションは大丈夫」という、非常に危険な慢心に出くわすことがある。はっきり言おう...