Webセキュリティ専門の学習

JSONPという「負の遺産」：なぜ我々は未だにクロスドメインの悪夢にうなされるのか技術の進化は残酷だ。かつて、ブラウザの「同一生成元ポリシー（SOP）」という堅牢な檻を回避するための救世主として崇められたJSONP（JSON with Pa...

JSONPという「パンドラの箱」を閉じ、CORSでモダンな通信を実装するこんにちは。現場の最前線でコードとログに向き合っているエンジニアの皆さん、お疲れ様です。今日は、レガシーなシステムの保守やリプレイスで遭遇する「JSONP（JSON w...

こんにちは。セキュリティの世界へようこそ。日々、コードの海を泳ぐエンジニアの皆さん、お疲れ様です。今日は、かつてWebの「魔法の杖」と呼ばれ、今は「パンドラの箱」となってしまったJSONPという技術と、その現代的な後継者であるCORSについ...

現代のXSS防御：XSS Auditorの「墓標」とCSPが描くラストライン・オブ・ディフェンスかつて、ブラウザのセキュリティ機能として鳴り物入りで登場した「XSS Auditor」や「XSS Filter」を覚えているだろうか。Chrom...

ブラウザの「お節介」はもう終わった。XSS Auditor廃止の真実と、今すぐ導入すべきCSPの鉄則現場でインシデント対応をしていると、「ブラウザが勝手にXSSを防いでくれるから大丈夫」という、恐ろしく楽観的な設計に出くわすことがあります。...

ブラウザの「門番」が消えた理由。XSSを防ぐために、私たちが今すぐやるべきことこんにちは。現場で泥臭くインシデントと戦っていると、「昔はブラウザが勝手に攻撃を防いでくれていたのに、今はなぜそれがなくなったの？」という質問をよく受けます。セキ...

「自動エスケープ」は最強の玄関ドア！テンプレートインジェクションから身を守る基本の「き」こんにちは。セキュリティの現場で、日々「どうすれば開発者が幸せになれるか」を考えているエンジニアです。今日は、Web開発の現場で避けては通れない「テンプ...

コードの動的実行という「禁忌」：eval() が招く現代的インジェクションの深淵我々が日々向き合っているコードベースにおいて、最も「安易で、最も破滅的」な実装の一つが、文字列を命令として解釈させる関数群だ。eval()、setTimeout...

悪魔の招待状：JavaScriptでeval()を使ってはいけない「本当の理由」と現場の防衛術「とりあえず動けばいいや」で書いた数行のコードが、数年後に会社を傾ける脆弱性の温床になる。セキュリティの現場で何度も見てきた光景だ。今日取り上げる...

「便利だから」で済ませてはいけない。JavaScriptの「禁断の魔術」を安全なコードに書き換えようこんにちは。現場の最前線でセキュリティと向き合っているエンジニアです。今日は、プログラミングを始めたばかりの方がつい使いがちな、でもセキュリ...