gcchaan

エンジニア向け研修

• CARTA HOLDINGS（旧VOYAGE GROUP）
  • 技術広報が新卒研修<Open AIハッカソン>をスパイしてみた - (2023/04/11)
  • @t_wadaに学ぶテスト駆動開発【CARTA 23新卒研修】 - (2023/04/19)
  • 【新卒研修】監修者@t_wadaと読む！プログラマが知るべき97のこと読書会 - (2024/04/09)
• Classi
  • 当たり前にリリースしていく ~ 新卒研修編 - (2021/05/20)
  • リモートワークのための質問力向上研修を実施しました - (2021/12/07)
• CyberZ
• 良いコードとは何か - エンジニア新卒研修 スライド公開 - (2021/04/27)

mala

概要

http://co3k.org/blog/csrf-token-should-not-be-session-id について。

この記事では触れられていませんが、

• むかし、セッションIDをHTMLソース中に埋め込んでも脅威は変わらないと主張した人がいました
• 正確には「hiddenの値のみ漏れやすいような特殊な脆弱性が無ければ」という前提であったけれど、実際にそのようなバグはあったし、予見されていた。
• とても影響のある人だったので、色々なサイトや書籍がその方法を紹介し、安全なウェブサイトの作り方にも載ってしまいました

この際ハッキリ言っておくべきだと思うので書きますが、そもそもセッションIDを(HTMLソース中に埋め込む)CSRF対策トークンとして使うのは間違いでした。最初から間違っていたのです。正確に言うとCSRFの話は関係ないですね。CSRF関係なく、特に「単体で」セッションハイジャックが可能になるような値を、HTMLソース中に埋め込むべきではありません。

sunaot

基礎知識

• 結合性
• 凝集性
• 直交性と DRY

読み物系

• 実装に名前をつけるのでなく意図に名前をつける
• 条件分岐とのつきあい方

theconektd

body {
  font-family: Helvetica, arial, sans-serif;
  font-size: 14px;
  line-height: 1.6;
  padding-top: 10px;
  padding-bottom: 10px;
  background-color: white;
  padding: 30px; }

body > *:first-child {