[WIP] セキュリティの問題を、アプリケーションエンジニアとして考える
セキュリティAI
セキュリティの問題を考えるうえで、最初の大きなきっかけになったのは、タイムズカーへの不正アクセスだった。2026年9月25日の第1報で、会員の個人情報が外部に漏えいした可能性があると公表された...
#セキュリティ
6件の記事
RLSは悪用されているのか
データベースセキュリティバックエンド
Supabaseを使っていると、Row Level Security、いわゆるRLSを避けて通れない。テーブルを作ってクライアントから読もうとすると、ほぼ例外なく「RLS policyを書こう...
「認証」と「認可」の違い
自由研究セキュリティWeb
ウェブシステムの設計やセキュリティの話になると、「認証（Authentication）」と「認可（Authorization）」が必ず顔を出す。字面がよく似ているので、しばしば混同される。なに...
「HTTPはステートレス」なのに、なぜログイン状態を維持できるのか？
自由研究Webセキュリティ
ウェブ開発を学んでいると、「HTTP はステートレス、つまり状態を持たないプロトコルである」という一文に必ず出くわす。ところが現実のウェブサイトでは、一度ログインすればページを移っても自分だと...
セッション情報の保存先、結局どれが正解？
自由研究セキュリティWeb
「ブラウザを閉じてもログイン状態を維持し、端末ごとにログアウトもさせたい」という要件が来たとする。JWTやセッションIDを、さてどこにしまっておくか。localStorage、sessionS...
Subresource Integrity（SRI）を調べてみた：外部CDNのJavaScriptに本当に付けるべきなのか
セキュリティWebフロントエンド
外部CDNからJavaScriptやCSSを読み込むコードを眺めていると、ときどき次のような記述に出くわす。