2026-08-15

iframeのOrigin検証は「画面の一部を“信頼できる外部コンテンツだけ”に限定するための防御技術です」業務システムでは、<iframe> を使って外部コンテンツを埋め込む場面がよくあります。外部...

postMessageのOrigin検証は「別ドメインとのメッセージ通信を“信頼できる相手だけ”に限定するための防御技術」ですwindow.postMessage は、親ページと <iframe>別タ...

JSONPを安全に扱うことは「外部サイトからの“任意コード実行”を制御するための重要な防御技術」ですJSONP（JSON with Padding）は、古いブラウザやCORSが使えない環境で 別ドメイ...

ユーザー入力のサニタイズは「外部から来たデータを“攻撃ではなく情報”として扱うための基本防御技術」です業務システムでは、ユーザー入力を扱う場面が非常に多いです。会員登録フォームの名前・メールアドレスコ...

危険なHTMLを除去することは「ユーザー入力を“安全なコンテンツ”だけに絞り込むための最後の防御線」です業務システムで、ユーザーが入力した内容を「リッチテキスト」として表示したい場面は多くあります。お...

「javascript: URLを拒否する」は“リンクからのコード実行”を根本的に封じるためのセキュリティガードです業務システムで URL を扱うときに、必ず意識してほしい危険な存在が javascr...

外部URL検証は「ユーザーを“行ってほしくない場所”へ飛ばさないためのセキュリティゲート」業務システムでは、外部サイトへのリンクや遷移を扱う場面が多くあります。お知らせページから外部サービスへのリンク...

URLを安全に検証することは「ユーザー入力や外部リンクを“信頼できる経路”だけに限定するための防御技術」業務システムで URL を扱う場面はとても多いです。ユーザーが入力したリンクを表示する外部サイト...

XSS対策用の文字列処理は「ユーザー入力を“攻撃コード”ではなく安全なデータとして扱うための基盤技術」Web業務システムで避けて通れないセキュリティテーマが XSS（クロスサイトスクリプティング）対策...

HTMLエスケープは「ユーザー入力を“安全な文字列”に変換してXSS攻撃を防ぐための基本防御テクニック」業務システムで Web を扱うなら、HTMLエスケープは避けて通れないセキュリティ技術です。 特...