Webセキュリティ専門の学習

JWTの「ステートレス」という甘い罠：失効管理をサボるエンジニアが迎える結末「JWTはサーバー側で状態を持たないからスケーラブルだ」。確かにその通りだ。しかし、この設計思想を教条的に信じすぎた結果、重大なインシデントに直結するケースを私は山...

「一度渡した鍵は返せない」？JWTの盲点と、私たちが作るべき「無効化リスト」の仕組みこんにちは。現場の最前線でセキュリティと向き合っていると、「JWT（JSON Web Token）はステートレス（状態を持たない）で楽だから」という理由だけ...

OAuth 2.0の「隙間」を突く：Open Redirectと厳密な検証の深淵OAuth 2.0の仕様書（RFC 6749）を読み込んでいるつもりでも、いざ実装の現場に立つと、多くのエンジニアが「利便性」という名の悪魔に魂を売り、`red...

OAuth 2.0の「リダイレクト地獄」を断ち切る：Open Redirectを許さない実装の極意現場でコードをレビューしていると、いまだに「なぜこんな単純な穴を放置するんだ？」と頭を抱える瞬間がある。特にOAuth 2.0の `redir...

「ログインしたはずが、怪しいサイトへ…？」OAuth 2.0の落とし穴と、正しい鍵の作り方こんにちは！セキュリティの世界へようこそ。皆さんは普段、Webサイトで「Googleでログイン」や「Twitter（X）でログイン」といったボタンをよ...

セッション固定化の亡霊：ID再生成を「儀式」で終わらせないための低レイヤ・アーキテクチャ「ログイン時にセッションIDを再生成する」。これはWebセキュリティの入門書であれば必ず書かれている定石だ。しかし、なぜそれが必要なのか、そしてそれが「...

現場のエンジニア諸君、お疲れ様。今日もどこかのログで怪しいトラフィックと格闘していることだろう。今回は「セッション固定化攻撃（Session Fixation）」についてだ。教科書には「ログイン前後でIDを更新しろ」と一行で書かれているが、...

こんにちは。セキュリティの世界へようこそ。現場で泥にまみれながらインシデント対応をしていると、ふと思うことがあります。「なぜ、家には立派な鍵をかけるのに、自分が作ったWebサイトの鍵はこんなに隙だらけなんだろう」と。今回は、Web開発の現場...

JWTの保管場所を巡る聖戦：LocalStorageという「自爆スイッチ」を捨て、堅牢なCookie設計へセキュリティの世界で最も滑稽な光景の一つは、JWT（JSON Web Token）の扱いを巡るエンジニアたちの誤解だ。多くのフロントエ...

JWTの「置き場所」で人生を棒に振るな：LocalStorageか、Cookieか。「JWTをどこに保存すればいいですか？」新人のエンジニアからこの質問を受けるたび、私は少しだけ背筋が凍る思いをします。なぜなら、この選択を誤ることは、「家の...