CORS

同一オリジンポリシーの制限を、サーバ側が許可する範囲に限って安全に緩める仕組み。応答にAccess-Control-Allow-Originなどのヘッダを付けて許可するオリジンを明示する。安易に全許可にすると危険となる。

Webブラウザの同一オリジンポリシーで制限されている、異なるオリジン（スキーム・ホスト・ポートの組）のサーバへのスクリプトからのアクセスを、サーバ側の許可に基づいて例外的に認める仕組み。サーバはAccess-Control-Allow-OriginなどのHTTPレスポンスヘッダで許可するオリジンを示し、ブラウザがそれを確かめる。単純でないリクエストの前には、ブラウザがOPTIONSメソッドのプリフライトリクエストを送って許可を確かめる。

Webブラウザの同一オリジンポリシーで制限されている、異なるオリジン（スキーム・ホスト・ポートの組）からのリソース取得を、サーバ側の許可に基づいて例外的に認める仕組み。サーバはAccess-Control-Allow-OriginなどのHTTPレスポンスヘッダで許可するオリジンを示し、ブラウザがそれを確認する。要求元のオリジンを無条件に許可して資格情報付きのアクセスを認めるといった設定不備は、他サイトからの情報窃取につながる。

スクリプトが読み込まれた出自（スキーム・ホスト・ポートの組）と異なるオリジンの資源へアクセスすることをブラウザが制限する仕組み。クロスサイトスクリプティングなどによる情報の持ち出しを抑える、Webの基本的な保護機構。

cookieに付与すると、HTTPS通信のときだけブラウザがそのcookieを送信するようになる属性。平文のHTTP通信によるセッションIDの盗聴を防ぐ。スクリプトからの読取りを禁じるHttpOnly属性と併用する。

Webアプリケーションの入力値を通じて不正なSQL文を挿入・実行させる攻撃手法。データの不正取得、改ざん、削除などが可能になる。対策としてプレースホルダ（バインド機構）の使用、入力値の検証、エスケープ処理、最小権限のDBアカウント使用がある。

Webアプリケーションの脆弱性を利用して、悪意のあるスクリプトをWebページに埋め込む攻撃。反射型、格納型、DOMベースの3種類がある。対策として出力時のHTMLエスケープ、Content-Security-Policy（CSP）ヘッダの設定、入力値の検証がある。

ログイン済みの利用者に対し、攻撃者が用意した罠のWebページを経由して、利用者の意図しないリクエストを正規のWebサイトに送信させる攻撃。対策としてCSRFトークンの埋め込みと検証、SameSite属性付きCookieの使用、Refererヘッダの検証がある。

Webアプリケーションの入力値を通じて、サーバ上でOSのコマンドを不正に実行させる攻撃手法。PHPのexec関数やsystem関数など、外部コマンドを実行する機能への入力値が適切にサニタイズされていない場合に発生する。対策としてコマンド実行関数の使用回避、入力値の厳格な検証がある。