体系的に学ぶ 安全なWebアプリケーションの作り方 第2版［リフロー版］　脆弱性が生まれる原理と対策の実践

この本について

開発を続けていると、「なんとなく動くけど、これ本当に安全なんだっけ…？」みたいな不安がずっとつきまといます。ZAPで脆弱性を洗おうとしても使い方の判断に迷ったり、セッションIDの扱いひとつ取ってもこれで十分なのか確信が持てなかったり。自分も同じことで手が止まるタイプなので、設定や対策を“なぜそうするのか”まで言語化してくれる本に助けられました。 この本は、クッキーに直接値を入れない理由や、TLSとSecure/HttpOnly属性の関係、Refererが絡む情報漏えいの仕組みなど、現場でつまずきやすいポイントを原理から説明してくれます。CSRFでなぜトークンが必要なのか、JavaScriptのエスケープ漏れがどんな形で脆弱性になるのか、といった細かいところも曖昧にせずに扱っていて、読みながら「ああ、ここが自分のモヤモヤの正体だったのか」と整理されていく感じがあります。 特に、FLOSS を使う場合にバージョンアップのコストまで考えておく話や、HTMLを安全に扱うなら Purifier のようなライブラリで構文解析する、という“実運用でどう備えるか”まで踏み込んでいるところは、手元のプロダクトにすぐ重ねられました。仕組みが分かると、対策がチェックリストではなく判断として扱えるようになるのが大きいです。 自分と同じように「とりあえず避けてきた安全対策を、もう一度ちゃんと理解したい」という人にはかなり刺さると思います。