cookieのSecure属性
Secure Attribute
くっきーのせきゅあぞくせい
cookieに付与すると、HTTPS通信のときだけブラウザがそのcookieを送信するようになる属性。平文のHTTP通信によるセッションIDの盗聴を防ぐ。スクリプトからの読取りを禁じるHttpOnly属性と併用する。
Related
関連キーワードの用語
スクリプトが読み込まれた出自（スキーム・ホスト・ポートの組）と異なるオリジンの資源へアクセスすることをブラウザが制限する仕組み。クロスサイトスクリプティングなどによる情報の持ち出しを抑える、Webの基本的な保護機構。
Same Origin Policyの制限を、サーバがHTTPレスポンスヘッダで明示的に許可することで安全に緩和する仕組み。Access-Control-Allow-Originに許可するオリジンを指定する。ワイルドカードの安易な指定は情報漏えいにつながる。
Webアプリケーションの入力値を通じて不正なSQL文を挿入・実行させる攻撃手法。データの不正取得、改ざん、削除などが可能になる。対策としてプレースホルダ（バインド機構）の使用、入力値の検証、エスケープ処理、最小権限のDBアカウント使用がある。
Webアプリケーションの脆弱性を利用して、悪意のあるスクリプトをWebページに埋め込む攻撃。反射型、格納型、DOMベースの3種類がある。対策として出力時のHTMLエスケープ、Content-Security-Policy（CSP）ヘッダの設定、入力値の検証がある。
ログイン済みの利用者に対し、攻撃者が用意した罠のWebページを経由して、利用者の意図しないリクエストを正規のWebサイトに送信させる攻撃。対策としてCSRFトークンの埋め込みと検証、SameSite属性付きCookieの使用、Refererヘッダの検証がある。
Webアプリケーションの入力値を通じて、サーバ上でOSのコマンドを不正に実行させる攻撃手法。PHPのexec関数やsystem関数など、外部コマンドを実行する機能への入力値が適切にサニタイズされていない場合に発生する。対策としてコマンド実行関数の使用回避、入力値の厳格な検証がある。