セキュリティ プログラミング ソフトウェア 2026.05.20 103 エスケープとは？HTML / SQL / シェル / JS — 出力先ごとの作法 エスケープは 「出力先の文法に合わせて、特別な意味を持つ文字を無効化する処理」 です。HTML / SQL / シェル / JS / JSON / URL でルールが違うため、「htmlspecialchars すれば全部安全」 のような誤解が事故を生みます。出力先ごとの正しい作法と、サニタイズとの違い、テンプレートエンジン任せにする境界線を実務目線で整理します。 # セキュリティ # プログラミング # SQLインジェクション
セキュリティ サーバー ソフトウェア 2026.05.20 113 AWS IAM ロール / ポリシー / 権限境界 / SCP の使い分け AWS IAM の ロール / アイデンティティポリシー / リソースポリシー / 権限境界 / SCP / セッションポリシー は、「似ているのに役割が違う」 ので混乱しやすい仕組みです。「どの階層で何を制御するか」 と 「評価ロジック(AND で絞り込み)」 を理解すれば、「必要なところまでだけ権限を絞る」 設計が組めます。実務目線で使い分けを整理します。 # AWS # セキュリティ # 権限管理
セキュリティ プログラミング ソフトウェア 2026.05.20 98 JWT の正しい使い方と落とし穴 — 署名検証・保管・失効 JWT はステートレスで便利な反面、「alg=none」 「署名検証忘れ」 「localStorage 保管で XSS」 「失効できない」 など落とし穴も多いトークン形式です。「JWT を使うと決めた場合」 のベストプラクティス(必須クレーム検証・短命 + Rotation・HttpOnly Cookie・機密データを入れない)と、よくある事故パターンを実務目線で整理します。 # セキュリティ # 認証 # トークン
セキュリティ サーバー ソフトウェア 2026.05.20 117 S3 公開設定の落とし穴と OAC への移行 — 誤公開事故を防ぐ構成 Amazon S3 の 「公開バケット」 は、機密データ漏洩事故の代表的な原因です。「Public Access Block」 を解除しないまま CloudFront + OAC(Origin Access Control)経由で配信するのが現代の標準。旧 OAI からの移行手順、よくある事故パターン、安全な構成の組み立て方を実例ベースで整理します。 # AWS # セキュリティ # CloudFront
サーバー ネットワーク ソフトウェア 2026.05.20 126 Amazon CloudFront とは？AWS の CDN の仕組みと使いどころ Amazon CloudFront は AWS が提供する CDN サービスで、「配信を速くする」 だけでなく 「オリジンを守る」 「セキュリティを足す」 「料金を最適化する」 の役割をひとつにまとめています。仕組み、S3 / ALB との連携、署名付き URL、料金、Cloudflare などの他社 CDN との違い、「CloudFront を使うべき場面」 を初心者向けに整理します。 # AWS # セキュリティ # CDN
セキュリティ プログラミング ソフトウェア 2026.05.20 134 サニタイズとは？エスケープ・バリデーションとの違いと実務での使い分け サニタイズは 「入力や出力から危険な要素を取り除いて無害化する処理」 ですが、エスケープやバリデーションと混同されがちです。XSS / SQL インジェクション / コマンドインジェクション / Prompt Injection といった代表的な攻撃に対し、「どこで何をやるか」 を間違えると簡単に事故ります。3者の違いと、実務でどう向き合うかを整理します。 # セキュリティ # SQLインジェクション # XSS
フレームワーク ソフトウェア セキュリティ 2026.05.15 115 Next.js 2026年5月セキュリティリリースまとめ｜13件の脆弱性とアップグレード手順 2026年5月に Vercel が公開した Next.js セキュリティリリースは、認可バイパス・SSRF・XSS・DoS・キャッシュポイズニングを含む 13件の脆弱性を一括修正しました。「WAF では完全対策にならない、パッチングが唯一の方法」 と公式が明言しており、緊急アップグレードが推奨されます。修正内容、推奨バージョン、移行手順を整理します。 # Next.js # セキュリティ # CVE
セキュリティ プログラミング ソフトウェア 2026.05.15 96 Mini Shai-Hulud Worm とは？2026年5月に判明した npm / PyPI 大規模サプライチェーン攻撃を解説 2026年5月12日に The Hacker News が報じた 「Mini Shai-Hulud」 ワームは、TanStack / Mistral AI / Guardrails AI などを含む npm / PyPI 170以上のパッケージを侵害したサプライチェーン攻撃です。CVE-2026-45321(CVSS 9.6)に紐づくこの事件の手口、被害規模、開発チームが今すぐやるべき対策を整理します。 # セキュリティ # npm # サプライチェーン攻撃
プログラミング ソフトウェア 2026.05.15 92 Deno とは何か？Node.js / Bun との違い・権限ベースのセキュリティ・Deno Deploy の使いどころ Deno は 「Node.js を作った Ryan Dahl が再設計した」 JavaScript / TypeScript ランタイムで、権限ベースのセキュリティ、Web 標準 API、TypeScript の標準サポート、Deno Deploy(エッジホスティング)を特徴とします。Node / Bun との違い、「npm:」 経由の互換、どんなときに選ぶかを実務目線で整理します。 # JavaScript # TypeScript # セキュリティ
