Webセキュリティ専門の学習

セッション管理の死角：Cookie属性の「なんとなく設定」が招く壊滅的インシデントこんにちは。現場で泥をかぶり続けていると、痛感することがある。「脆弱性とは、ソフトウェアのバグではなく、仕様の隙間を縫うエンジニアの油断から生まれる」という事...

セッション管理の「穴」を埋める：Cookie属性を極めて、攻撃者の侵入路を断つエンジニア諸君、今日も運用お疲れ様。インシデント対応の現場でよく見る光景がある。「認証機能はログイン処理さえうまく作ればOK」という勘違いだ。しかし、攻撃者はログ...

その「Cookie」、実は泥棒に鍵を渡していませんか？セッション管理の基本をマスターしようこんにちは。セキュリティの世界で長く泥臭い現場を見てきた者として、今日は「Cookie（クッキー）」という、Webサービスの命とも言える小さなデータの...

なぜ「コマンドインジェクション」は家を丸裸にするのか？—安全な開発への第一歩こんにちは。セキュリティの現場で数々のインシデントを見てきた筆者が、今日は皆さんに「OSコマンドインジェクション」という、開発者なら絶対に避けて通れない「玄関の鍵の...

プリペアドステートメントの深淵：SQLiを「過去の遺物」にするためのアーキテクト的思考世の中のセキュリティ教育では「SQLインジェクション対策にはプリペアドステートメントを使え」という言葉が呪文のように繰り返されている。しかし、現場の最前線...

SQLインジェクションは「過去の遺物」か？――現場で戦うエンジニアへ贈る、真の防御戦略「SQLインジェクション？ 今どきフレームワーク使ってるし、大丈夫でしょ」もしあなたが心のどこかでそう思っているなら、今日の話を最後まで聞いてほしい。私は...

「SQLインジェクション」は怖くない！あなたのプログラムを「最強の金庫」に変える魔法の呪文こんにちは！セキュリティの世界へようこそ。日々、開発の現場でコードを書いていると、「セキュリティ対策をしなさい」と口うるさく言われることはありませんか...

CORSは「ブラウザの善意」に依存した砂上の楼閣か：設計者が直視すべき境界線のプロトコル多くの開発者が、CORS（Cross-Origin Resource Sharing）を単なる「APIの通信許可設定」だと誤解している。しかし、現場でイ...

CORSは「ブラウザの善意」に頼るな。防御の最前線で語る実務的なポリシー設計現場でインシデント対応をしていると、必ずと言っていいほど遭遇するのが「CORS（Cross-Origin Resource Sharing）の設定不備」だ。「とりあ...

「とりあえず `` にしてない？」CORS設定の落とし穴と、泥棒に入られないための正しい鍵の管理術こんにちは！セキュリティの世界へようこそ。日々、コードを書いていると「あれ、ブラウザからAPIを叩いたらエラーが出る…面倒だからとりあえず `...