セキュリティ プログラミング ソフトウェア 2026.05.20 31 OAuth 2.0 と OpenID Connect (OIDC) の違い — 認可と認証 OAuth 2.0 と OpenID Connect (OIDC) は混同されがちですが、「OAuth 2.0 = API への認可」 と 「OIDC = ユーザーの認証」 で役割がまったく違います。ID トークンとアクセストークンの違い、ユースケース別の使い分け、認可フローの選び方、混同が引き起こす事故パターンを実務目線で整理します。 # セキュリティ # 認証 # OAuth
セキュリティ サーバー ネットワーク 2026.05.20 27 AWS WAF 入門 — CloudFront / ALB / API Gateway 連携と料金 AWS WAF は CloudFront / ALB / API Gateway / AppSync の前段で動く Web Application Firewall。SQL インジェクションや XSS を含む OWASP Top 10 系の攻撃、レート制限、Bot 対策、地理ブロックをマネージドルールで一括導入できます。仕組み、料金、ハマりやすい設定、「いつ入れるべきか」 を整理。 # AWS # セキュリティ # CloudFront
セキュリティ プログラミング ソフトウェア 2026.05.20 23 OWASP Top 10 を実務目線で読む — 10 カテゴリと現場での対策 OWASP Top 10 は 「Web アプリで実際に多い脆弱性カテゴリ 10 個」 を世界中の事例から集計した、Web セキュリティの共通言語です。「仕様書として読む」 のではなく、自社プロダクトの現状チェックリストとして使うのが正しい使い方。2021 版を起点に、各カテゴリで現場が踏みやすい失敗パターンと対策を整理します。 # セキュリティ # SQLインジェクション # XSS
プログラミング サーバー ソフトウェア 2026.05.20 19 レートリミットの代表アルゴリズム 4 つを比較 — Token Bucket / Leaky / Fixed / Sliding レートリミット の代表アルゴリズムは Token Bucket / Leaky Bucket / Fixed Window / Sliding Window の 4 つ。「バーストを許すか」 『 公平性をどう取るか』 『 実装難度』 『 分散環境での同期コスト』 がそれぞれ違うので、「守りたい性質」 に合わせて選ぶ必要があります。アルゴリズムの仕組みと使い分けを実務目線で整理します。 # API # セキュリティ # レートリミット
セキュリティ プログラミング ソフトウェア 2026.05.20 22 エスケープとは？HTML / SQL / シェル / JS — 出力先ごとの作法 エスケープは 「出力先の文法に合わせて、特別な意味を持つ文字を無効化する処理」 です。HTML / SQL / シェル / JS / JSON / URL でルールが違うため、「htmlspecialchars すれば全部安全」 のような誤解が事故を生みます。出力先ごとの正しい作法と、サニタイズとの違い、テンプレートエンジン任せにする境界線を実務目線で整理します。 # セキュリティ # プログラミング # SQLインジェクション
セキュリティ サーバー ソフトウェア 2026.05.20 21 AWS IAM ロール / ポリシー / 権限境界 / SCP の使い分け AWS IAM の ロール / アイデンティティポリシー / リソースポリシー / 権限境界 / SCP / セッションポリシー は、「似ているのに役割が違う」 ので混乱しやすい仕組みです。「どの階層で何を制御するか」 と 「評価ロジック(AND で絞り込み)」 を理解すれば、「必要なところまでだけ権限を絞る」 設計が組めます。実務目線で使い分けを整理します。 # AWS # セキュリティ # 権限管理
セキュリティ プログラミング ソフトウェア 2026.05.20 19 JWT の正しい使い方と落とし穴 — 署名検証・保管・失効 JWT はステートレスで便利な反面、「alg=none」 「署名検証忘れ」 「localStorage 保管で XSS」 「失効できない」 など落とし穴も多いトークン形式です。「JWT を使うと決めた場合」 のベストプラクティス(必須クレーム検証・短命 + Rotation・HttpOnly Cookie・機密データを入れない)と、よくある事故パターンを実務目線で整理します。 # セキュリティ # 認証 # トークン
セキュリティ サーバー ソフトウェア 2026.05.20 20 S3 公開設定の落とし穴と OAC への移行 — 誤公開事故を防ぐ構成 Amazon S3 の 「公開バケット」 は、機密データ漏洩事故の代表的な原因です。「Public Access Block」 を解除しないまま CloudFront + OAC(Origin Access Control)経由で配信するのが現代の標準。旧 OAI からの移行手順、よくある事故パターン、安全な構成の組み立て方を実例ベースで整理します。 # AWS # セキュリティ # CloudFront
サーバー ネットワーク ソフトウェア 2026.05.20 22 Amazon CloudFront とは？AWS の CDN の仕組みと使いどころ Amazon CloudFront は AWS が提供する CDN サービスで、「配信を速くする」 だけでなく 「オリジンを守る」 「セキュリティを足す」 「料金を最適化する」 の役割をひとつにまとめています。仕組み、S3 / ALB との連携、署名付き URL、料金、Cloudflare などの他社 CDN との違い、「CloudFront を使うべき場面」 を初心者向けに整理します。 # AWS # セキュリティ # CDN
