PR：この記事にはアフィリエイトリンクが含まれます。
Webアプリのセキュアコーディング本を探すと、OWASP Top 10や入力検証、認可など似た言葉が並び、知識をどこでコードに結び付けるか迷いますよね。実務では攻撃名を覚えること以上に、値の流れや権限を判定する場所を追うことが重要です。
入力値をそのまま保存したり、画面からボタンを隠して操作を防いだつもりになったりすると、脆弱性が残ります。攻撃が成立する条件と修正方法をコード例で結び付けて読むと、実装レビューやテストでも見返せます。
早見表
価格は税込の定価・希望小売価格を参考にしました。販売店や時期によって実売価格は変わります。購入時には販売価格をご確認ください。
| 書名 | 主な内容 | 読者・実務 | 参考価格 |
|---|---|---|---|
 体系的に学ぶ 安全なWebアプリケーションの作り方 第2版 | PHPの脆弱性、入力処理、認可、OWASP ZAPによる診断。OWASP Top 10 2017年版に対応 | Webアプリ開発者、脆弱性の原理と修正を学びたい人 | 3,520円 |
 フロントエンド開発のためのセキュリティ入門 知らなかったでは済まされない脆弱性対策の必須知識 | HTTP・オリジン、XSS・CSRFなどを解説。Node.js・ExpressのサンプルでXSS・CSRF・認証機能の実装と対策 | フロントエンド開発者 | 2,970円 |
 ハッキングAPI Web APIを攻撃から守るためのテスト技法 | REST・GraphQL APIの脆弱性、認証・認可の攻撃テスト、検証用ラボ | 開発者、QA、セキュリティ担当者 | 4,400円 |
 実践理解！Webアプリケーション セキュリティ | ブラウザー、ネットワーク、サーバーの脆弱性、認証・認可、インジェクション | 初学者から経験者まで | 3,828円 |
4冊が扱う範囲は、PHPを使った脆弱性の学習、フロントエンド、API診断、Webアプリ全体とそれぞれ異なります。普段担当する機能に近い題材なら、読み進めた内容を実装に当てはめやすいでしょう。
刊行年にも差があります。特にOWASP Top 10の対応版は、書籍の分類と現在の項目名を照らし合わせる際に確認しておきたい情報です。
OWASPの読み方
OWASP Top 10は、Webアプリで注意したい代表的なリスクを共有する資料です。言語やフレームワーク別の実装手順を網羅したチェックリストではなく、設計や機能に潜む危険を考えるための分類として使います。
版が変われば項目名や並び順も変わります。書籍に番号や名称が載っている場合は、何年版を対象にしているかを確かめましょう。新しい項目や補足はOWASPの公式資料で確認できます。
徳丸浩氏の『体系的に学ぶ 安全なWebアプリケーションの作り方 第2版』は、SBクリエイティブから2018年に刊行された688ページの本です。PHPのサンプルを使い、攻撃が成立する仕組みと対処方法を追っていきます。
OWASP Top 10は2017年版に対応しています。入力処理や認可の章に加え、脆弱なサンプルアプリとOWASP ZAPによる診断演習も収録。原理をコードで確かめたい開発者に適していますが、分類を確認するときは現行の公式資料も併読してください。
入力検証の実務
入力検証では、画面から届いた値をサーバー側でも調べ、アプリが受け付ける形や範囲に収まるかを確認します。年齢なら整数と範囲、状態なら許可した選択肢、識別子なら形式と参照権限を見ます。
全角・半角やUnicodeの表現差が影響する値は、検証前に正規化する場合があります。どの形式にそろえるかを決めたうえで長さや型、値域を判定すれば、表記ゆれによるすり抜けを減らせます。長さの単位も明確にしましょう。
正規表現だけで入力を安全にできるとは限りません。SQLの値はプレースホルダーで渡し、文字列を連結してクエリを作らないことが基本です。入力検証は想定外の値を拒否する処理で、SQLインジェクション対策を代替しません。
保存した文字列をHTMLへ表示する際は、出力先に合わせてエスケープします。HTML本文、属性値、JavaScriptでは処理が異なります。リッチテキストを許可する場合も、タグを一律に削らず、許可する要素や属性を限定してください。
認可の実務
認証は利用者が誰かを確かめること。認可は、その利用者に許す操作を決めることです。ログインに成功しても、すべての注文や管理機能を使えるわけではありません。この区別を実装にも反映します。
権限は画面にボタンを表示する段階で決まるものではありません。各リクエストを受けるサーバーで、対象データと操作、利用者の役割や所属先を照合し、許可条件を判定します。
注文詳細APIで利用者Aの番号をBの注文番号に置き換え、データを取得できたとします。ログイン機能があっても認可に穴があります。番号を推測しにくくするだけでは足りず、取得時に所有者や所属先を確認する必要があります。
初期状態では操作を許可せず、必要な権限だけを明示して認める設計が基本です。テストでは管理者の成功例に加えて、一般利用者が他人のデータを見られないことも確認します。役割と操作の対応表を作ると変更時の漏れを見つけやすくなります。
APIテスト
Corey Ball氏の『ハッキングAPI Web APIを攻撃から守るためのテスト技法』は、オライリー・ジャパンから2023年に刊行された432ページの本です。検証用ラボやテストツール、REST APIを中心とした攻撃手法を扱い、GraphQL APIにも触れています。
APIを検証するときは、正常な利用者のリクエストを記録して、識別子や操作内容を変えた応答と比べます。利用者AのデータにBからアクセスし、閲覧・更新・削除が拒否されるかを確かめれば、データ単位の認可不備を見つけやすくなります。
GraphQLでは、トップレベルの問い合わせだけでなく、関連オブジェクトや各フィールドを返す処理にも認可が必要です。画面で隠した項目がAPI応答に含まれる場合もあります。リゾルバーなど処理の境界で権限を確かめ、入れ子のデータも調べましょう。
認証情報やトークンは、有効期限切れや権限の異なるアカウント、ログアウト後の再利用も検証します。使ったアカウントとリクエスト、期待する拒否内容を記録しておけば、QAと開発者が同じ条件で試せます。修正後の確認にもその記録が役立ちます。
ブラウザーの罠
平野昌士氏が著者で、はせがわようすけ氏と後藤つぐみ氏が監修した『フロントエンド開発のためのセキュリティ入門 知らなかったでは済まされない脆弱性対策の必須知識』は、翔泳社から2023年に刊行された264ページの本です。Node.jsとExpressのサンプルアプリで実装と対策を試せます。
XSSは入力値などが適切に処理されず、攻撃者のスクリプトがブラウザーで動く問題です。CSRFはログイン中の利用者のブラウザーを悪用し、意図しない状態変更を送らせます。前者は出力時の処理、後者はリクエストの正当性確認が要になります。
オリジンはスキーム・ホスト・ポートの組み合わせで、ブラウザーが出所を区別する単位です。CORSは他オリジンから応答を読めるか制御する仕組みで、APIの認可とは別です。SameSite属性もCSRF対策に役立ちますが、状態変更リクエストの検証などと組み合わせます。
クリックジャッキングにはフレーム表示を制限する設定、オープンリダイレクトには遷移先の許可リストが有効です。同書はHTTPやオリジン、これらの攻撃に加えて認証・認可も扱います。フロントエンドの実装とブラウザーの動きを一緒に学べます。
診断と再テスト
脆弱性診断ツールを使えば、既知のパターンやリクエストへの応答を調べられます。OWASP ZAPは手動確認の出発点になりますが、検出結果がないことは安全の証明ではありません。
利用者ごとのデータ境界や業務上の承認順序は、機械的なスキャンでは判断しにくい部分です。一般利用者と管理者、同じ組織と別組織など権限の違うアカウントを用意し、機能の流れに沿って確かめましょう。
問題を見つけたら攻撃条件や影響範囲、修正箇所、再現手順を記録します。修正後は同じリクエストを試し、通常の操作まで壊れていないかも確認。脆弱性の修正を回帰テストに加えれば、再発を検出できます。
コードレビューでは危険な文字列の有無に加えて、値がどこを通り、誰の権限で使われるかを追います。入力検証や出力時の処理、認可確認を共通の観点にすると、攻撃例と修正例をレビュー時に参照できます。
全体像をつかむ
『実践理解！Webアプリケーション セキュリティ』は、Malcolm McDonald氏の著書をKazuhiko Yagami氏が訳した312ページの本です。マイナビ出版から2026年1月に刊行され、セキュリティ原則からブラウザー、ネットワーク、サーバーの脆弱性まで図解とコード例で扱います。
認証、セッション、認可、ペイロード、インジェクションの章があります。個々の脆弱性をアプリ全体の構造と合わせて理解したい人に適しています。初学者が基礎を広げるときにも、経験者が知識を整理するときにも使える範囲です。
書籍の内容は現場の構成や最新ライブラリの設定を置き換えるものではありません。サンプルを自分のアプリのデータの流れに当てはめ、フレームワークやOWASPの公式情報で現在の設定を確かめると、学んだことを実装へつなげられます。
結論
Webアプリのセキュリティを初めて体系立てて学ぶなら、図解とコードで全体を追える『実践理解！Webアプリケーション セキュリティ』を一冊目に。入力処理の仕組みを攻撃と修正から掘り下げたい人には、PHPとOWASP ZAPの演習がある『体系的に学ぶ 安全なWebアプリケーションの作り方 第2版』をすすめます。
フロントエンド開発者には、Node.js・ExpressでXSSやCSRFを試せる『フロントエンド開発のためのセキュリティ入門 知らなかったでは済まされない脆弱性対策の必須知識』が実務に直結します。APIの認可や攻撃テストが中心なら、『ハッキングAPI Web APIを攻撃から守るためのテスト技法』が適しています。
税込の参考価格は順に3,828円、3,520円、2,970円、4,400円で、実売価格は時期や販売店によって変わります。担当領域に近い本から読み、入力検証や認可の確認をコードとテストに反映することが、学習を現場の安全性につなげます。
Amazon の PC をスコア化してみた
Amazonにある8〜14インチの小型WindowsタブレットやノートPCを、スペック別にスコア化して比較・ランキング。
