Webセキュリティ専門の学習

S3バケットは「鍵をかける」だけでは足りない――エンジニアが陥る「公開設定」の罠と防衛術やあ。現場の最前線でコードを書き、夜中にアラートに飛び起きる諸君、お疲れ様。AWS S3のセキュリティ事故が後を絶たない。ニュースで「またか」と思うよう...

S3バケットは「玄関の鍵」と同じ！設定ミスで家の中をさらさないための防犯術こんにちは！セキュリティの世界へようこそ。今日は、AWSを触り始めたばかりの方が一度は必ず通る関門、「S3バケットの公開設定」についてお話しします。「S3バケットを公...

Django ORMの「神話」と、生のSQLが暴く脆弱性の深淵多くのエンジニアが「Djangoを使っているからSQLインジェクションは大丈夫」と安易に信じ込んでいる。これは半分は正しく、半分は危険な誤解だ。確かに、DjangoのORM（Ob...

Django ORMの「魔法」を過信するな：SQLインジェクションの深淵と正しい武装術現場でコードレビューをしていると、「Djangoを使っているからSQLインジェクションなんて関係ないよね？」という、冷や汗が出るようなセリフを耳にすること...

「Djangoなら絶対安全」という思い込みが危ない！ORMとSQLインジェクションの真実こんにちは。現場で泥臭いインシデント対応をしていると、「フレームワークを使っているからセキュリティ対策は万全だよね？」という声をよく耳にします。確かにD...

Helmet.jsの「お守り」化を防ぐ：HTTPヘッダーの深層とアーキテクチャの生存戦略多くの開発者がhelmet.jsをapp.use(helmet())の一行で済ませ、それを「セキュリティ対策完了」のスタンプとして扱っている。だが、現場...

「設定したつもり」が一番危ない：Helmet.jsで防ぐWebアプリの“玄関先”の死角現場でインシデント対応をしていると、決まって「なぜこんな初歩的な攻撃を通したんだ」と悔やむケースに出くわす。その多くは、SQLインジェクションや高度なゼロ...

玄関の鍵をかけずに家を出ますか？Express.jsを守る「helmet.js」の魔法こんにちは！セキュリティの世界へようこそ。あなたがもし、自宅の玄関に鍵をかけず、さらに「私はここに住んでいます。貴重品はここです」と書いた看板を掲げて外出...

CSRFは「死んだ」のか？：Spring Securityの自動保護が隠蔽する境界線多くのエンジニアが「Spring Securityを入れておけばCSRF対策は万全だ」と安直に考えている。しかし、現場でインシデントレスポンスを担当している...

Spring SecurityのCSRF対策：なぜ「無効化」が地獄への入り口なのか現場でコードレビューをしていると、若手エンジニアから「REST APIだからCSRF対策は不要ですよね？ セッション管理もStatelessだし」という言葉を...