classmethod/tsumiki

"name": "makoto kuroeda",     "email": "kuroeda.makoto@classmethod.jp",     "url": "https://github.com/classmethod"

"email": "kuroeda.makoto@classmethod.jp",     "url": "https://github.com/classmethod"   },

"url": "https://github.com/classmethod"

"email": "kuroeda.makoto@classmethod.jp"       },       "homepage": "https://github.com/classmethod/tsumiki",

},       "homepage": "https://github.com/classmethod/tsumiki",       "repository": "https://github.com/classmethod/tsumiki",

"homepage": "https://github.com/classmethod/tsumiki",

"repository": "https://github.com/classmethod/tsumiki",

"email": "kuroeda.makoto@classmethod.jp"       },       "homepage": "https://github.com/classmethod/tsumiki",

},       "homepage": "https://github.com/classmethod/tsumiki",       "repository": "https://github.com/classmethod/tsumiki",

"homepage": "https://github.com/classmethod/tsumiki",

"repository": "https://github.com/classmethod/tsumiki",

"email": "kuroeda.makoto@classmethod.jp"   },   "homepage": "https://github.com/classmethod/tsumiki",

},   "homepage": "https://github.com/classmethod/tsumiki",   "repository": "https://github.com/classmethod/tsumiki",

"homepage": "https://github.com/classmethod/tsumiki",

"repository": "https://github.com/classmethod/tsumiki",

Read, Glob, Grep, Task, Bash, AskUserQuestion

Read, Glob, Grep, Task, Bash, AskUserQuestion

Read, Glob, Grep, Task, Bash, WebSearch, WebFetch, AskUserQuestion

Read, Glob, Grep, Task, Bash

Read, Glob, Grep, Task, Bash, AskUserQuestion, Write

Read, Glob, Grep, Task, Bash, AskUserQuestion, TodoWrite

Read, Glob, Grep, Task, Bash, AskUserQuestion, Write

Read, Glob, Grep, Task, Bash, Write

// Before const data = await fetch('https://api.example.com/users');

const data = await fetch('https://api.example.com/users');

const server = setupServer(   rest.get('https://api.example.com/users', (req, res, ctx) => {

rest.get('https://api.example.com/users', (req, res, ctx) => {

rm -rf node_modules && npm install

Read, Glob, Grep, Edit, Write, Task, Bash(git:*), Bash(npm:*), Bash(npx:*), Bash(pnpm:*), Bash(yarn:*), Bash(python:*), Bash(pytest:*), Bash(go:*), Bash(cargo:*), Bash(make:*)

[Credential-related source omitted]

expect(user.name).toBe('John');   expect(fetch).toHaveBeenCalledWith('https://api.example.com/users/1');

expect(fetch).toHaveBeenCalledWith('https://api.example.com/users/1');

const server = setupServer(   rest.get('https://api.example.com/users/:id', (req, res, ctx) => {

rest.get('https://api.example.com/users/:id', (req, res, ctx) => {

it('should handle API errors', async () => {   server.use(     rest.get('https://api.example.com/users/:id', (req, res, ctx) => {

server.use(     rest.get('https://api.example.com/users/:id', (req, res, ctx) => {       return res(ctx.status(404));

rest.get('https://api.example.com/users/:id', (req, res, ctx) => {

"email": "kuroeda.makoto@classmethod.jp"   },   "homepage": "https://github.com/classmethod/tsumiki",

},   "homepage": "https://github.com/classmethod/tsumiki",   "repository": "https://github.com/classmethod/tsumiki",

"homepage": "https://github.com/classmethod/tsumiki",

"repository": "https://github.com/classmethod/tsumiki",

Read, Glob, Grep, Task, Write, TodoWrite, Bash

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

RUN mkdir src && echo "fn main() {}" > src/main.rs && cargo build && rm -rf src

RUN mkdir src && echo "fn main() {}" > src/main.rs && cargo build && rm -rf src

command: ["pnpm", "dev"]     environment:       - API_URL=http://backend:8080

command: ["pnpm", "dev"]     environment:       - API_URL=http://backend:8080

- API_URL=http://backend:8080

- API_URL=http://backend:8080

command: ["pnpm", "dev"]     environment:       - BFF_URL=http://bff:4000

command: ["pnpm", "dev"]     environment:       - BFF_URL=http://bff:4000

- BFF_URL=http://bff:4000

- BFF_URL=http://bff:4000

command: ["pnpm", "dev"]     environment:       - SERVICE_URL=http://service:8080

command: ["pnpm", "dev"]     environment:       - SERVICE_URL=http://service:8080

- SERVICE_URL=http://service:8080

- SERVICE_URL=http://service:8080

command: ["pnpm", "dev"]     environment:       - SERVICE_URL=http://service:8080

command: ["pnpm", "dev"]     environment:       - SERVICE_URL=http://service:8080

- SERVICE_URL=http://service:8080

- SERVICE_URL=http://service:8080

> **Note:** モバイルアプリからの BFF 接続は `http://localhost:4000`（エミュレータ）または実機のネットワーク IP を使用する。

> **Note:** モバイルアプリからの BFF 接続は `http://localhost:4000`（エミュレータ）または実機のネットワーク IP を使用する。

管理UI: `http://localhost:15672`（dev/dev）

管理UI: `http://localhost:15672`（dev/dev）

|----|---------|------| | Spring Boot | `spring init --type=gradle-project --language=java --boot-version=3.3 --java-version=21 --dependencies=<deps> <name>` | Spring CLI 必要 | | Spring Boot (curl) | `curl https://start.spring.io/starter.zip

|----|---------|------| | Spring Boot | `spring init --type=gradle-project --language=java --boot-version=3.3 --java-version=21 --dependencies=<deps> <name>` | Spring CLI 必要 | | Spring Boot (curl) | `curl https://start.spring.io/starter.zip

| Spring Boot | `spring init --type=gradle-project --language=java --boot-version=3.3 --java-version=21 --dependencies=<deps> <name>` | Spring CLI 必要 | | Spring Boot (curl) | `curl https://start.spring.io/starter.zip -d type=gradle-project 

| Spring Boot | `spring init --type=gradle-project --language=java --boot-version=3.3 --java-version=21 --dependencies=<deps> <name>` | Spring CLI 必要 | | Spring Boot (curl) | `curl https://start.spring.io/starter.zip -d type=gradle-project 

| Spring Boot (curl) | `curl https://start.spring.io/starter.zip -d type=gradle-project -d language=java -d dependencies=<deps> -o <name>.zip` | CLI 不要 |

| Spring Boot (curl) | `curl https://start.spring.io/starter.zip -d type=gradle-project -d language=java -d dependencies=<deps> -o <name>.zip` | CLI 不要 |

|----|---------|------| | Ktor | `ktor generate --project-name=<name> --features=<features>` | Ktor CLI または start.ktor.io からダウンロード | | Ktor (curl) | `curl 'https://start.ktor.io/project/generate?...' -o <name>.zip` | CLI 不要 |

|----|---------|------| | Ktor | `ktor generate --project-name=<name> --features=<features>` | Ktor CLI または start.ktor.io からダウンロード | | Ktor (curl) | `curl 'https://start.ktor.io/project/generate?...' -o <name>.zip` | CLI 不要 |

| Ktor | `ktor generate --project-name=<name> --features=<features>` | Ktor CLI または start.ktor.io からダウンロード | | Ktor (curl) | `curl 'https://start.ktor.io/project/generate?...' -o <name>.zip` | CLI 不要 | | Spring Boot (Kotlin) | `spring init 

| Ktor | `ktor generate --project-name=<name> --features=<features>` | Ktor CLI または start.ktor.io からダウンロード | | Ktor (curl) | `curl 'https://start.ktor.io/project/generate?...' -o <name>.zip` | CLI 不要 | | Spring Boot (Kotlin) | `spring init 

| Ktor (curl) | `curl 'https://start.ktor.io/project/generate?...' -o <name>.zip` | CLI 不要 |

| Ktor (curl) | `curl 'https://start.ktor.io/project/generate?...' -o <name>.zip` | CLI 不要 |

rm -rf "$(git rev-parse --show-toplevel)/tmp/screen-spec/"

rm -rf "$(git rev-parse --show-toplevel)/tmp/screen-spec/"

rm -rf "$(git rev-parse --show-toplevel)/tmp/screen-spec/"

rm -rf "$(git rev-parse --show-toplevel)/tmp/screen-spec/"

API セットアップ/クリーンアップの設計も含む。Phase 2 の分析結果からAPIエンドポイント情報を活用し、各 webtest plan に実行可能な curl コマンドを設計する。

API セットアップ/クリーンアップの設計も含む。Phase 2 の分析結果からAPIエンドポイント情報を活用し、各 webtest plan に実行可能な curl コマンドを設計する。

| ファイル | target-url | draft | シナリオ数 | 🔵 | 🟡 | 🔴 | APIセットアップ | |---------|-----------|-------|----------|-----|-----|-----|--------------| | login-form.md | http://app:8080/login | false | 5 | 3 | 1 | 1 | あり（共通1, 固有0） |

| ファイル | target-url | draft | シナリオ数 | 🔵 | 🟡 | 🔴 | APIセットアップ | |---------|-----------|-------|----------|-----|-----|-----|--------------| | login-form.md | http://app:8080/login | false | 5 | 3 | 1 | 1 | あり（共通1, 固有0） |

|---------|-----------|-------|----------|-----|-----|-----|--------------| | login-form.md | http://app:8080/login | false | 5 | 3 | 1 | 1 | あり（共通1, 固有0） | | dashboard.md | http://app:8080/dashboard | true | 3 | 0 | 2 | 1 | あり（共通1, 固有2） |

|---------|-----------|-------|----------|-----|-----|-----|--------------| | login-form.md | http://app:8080/login | false | 5 | 3 | 1 | 1 | あり（共通1, 固有0） | | dashboard.md | http://app:8080/dashboard | true | 3 | 0 | 2 | 1 | あり（共通1, 固有2） |

| login-form.md | http://app:8080/login | false | 5 | 3 | 1 | 1 | あり（共通1, 固有0） |

| login-form.md | http://app:8080/login | false | 5 | 3 | 1 | 1 | あり（共通1, 固有0） |

| dashboard.md | http://app:8080/dashboard | true | 3 | 0 | 2 | 1 | あり（共通1, 固有2） |

| dashboard.md | http://app:8080/dashboard | true | 3 | 0 | 2 | 1 | あり（共通1, 固有2） |

rm -rf tmp/webtest/plan/<plan-name>/

rm -rf tmp/webtest/plan/<plan-name>/

rm -rf tmp/webtest/update/

rm -rf tmp/webtest/update/

<U+200B>```bash # 管理者テストユーザー作成 curl -X POST http://app:8080/api/users \

<U+200B>```bash # 管理者テストユーザー作成 curl -X POST http://app:8080/api/users \

<U+200B>```bash

<U+200B>```bash

# 管理者テストユーザー作成 curl -X POST http://app:8080/api/users \   -H 'Content-Type: application/json' \

# 管理者テストユーザー作成 curl -X POST http://app:8080/api/users \   -H 'Content-Type: application/json' \

curl -X POST http://app:8080/api/users \

curl -X POST http://app:8080/api/users \

<U+200B>```

<U+200B>```

**手順**: 1. `http://app:8080/login` にアクセスする

**手順**: 1. `http://app:8080/login` にアクセスする

1. `http://app:8080/login` にアクセスする

1. `http://app:8080/login` にアクセスする

**ファイル共通セットアップ**: - 全シナリオで必要なテストデータの作成手順を curl コマンドで記述する

**ファイル共通セットアップ**: - 全シナリオで必要なテストデータの作成手順を curl コマンドで記述する

- 全シナリオで必要なテストデータの作成手順を curl コマンドで記述する

- 全シナリオで必要なテストデータの作成手順を curl コマンドで記述する

**シナリオ固有セットアップ**: - 特定シナリオでのみ必要なデータの作成手順を curl コマンドで記述する

**シナリオ固有セットアップ**: - 特定シナリオでのみ必要なデータの作成手順を curl コマンドで記述する

- 特定シナリオでのみ必要なデータの作成手順を curl コマンドで記述する

- 特定シナリオでのみ必要なデータの作成手順を curl コマンドで記述する

# テストユーザー作成 curl -X POST http://app:8080/api/users \

# テストユーザー作成 curl -X POST http://app:8080/api/users \

curl -X POST http://app:8080/api/users \

curl -X POST http://app:8080/api/users \

# 注文データ作成（シナリオ3: 注文履歴表示 の前提） curl -X POST http://app:8080/api/orders \

# 注文データ作成（シナリオ3: 注文履歴表示 の前提） curl -X POST http://app:8080/api/orders \

curl -X POST http://app:8080/api/orders \

curl -X POST http://app:8080/api/orders \

# テストユーザー削除 curl -X DELETE http://app:8080/api/users/test@example.com \

# テストユーザー削除 curl -X DELETE http://app:8080/api/users/test@example.com \

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

- HTTP メソッド、パス、ヘッダー、ボディを実行可能な形で記述する - ベースURLは frontmatter の `target-url` のホスト部分に合わせる（例: `http://app:8080`）

- HTTP メソッド、パス、ヘッダー、ボディを実行可能な形で記述する - ベースURLは frontmatter の `target-url` のホスト部分に合わせる（例: `http://app:8080`）

- ベースURLは frontmatter の `target-url` のホスト部分に合わせる（例: `http://app:8080`）

- ベースURLは frontmatter の `target-url` のホスト部分に合わせる（例: `http://app:8080`）

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

- 新しいシナリオ固有セットアップを「## APIデータセットアップ」セクション末尾に追加する - 信号機コメントは `<!-- 🟡 source: screen-spec update -->` を付与する - curl コマンドは実行可能な形で記述する

- 新しいシナリオ固有セットアップを「## APIデータセットアップ」セクション末尾に追加する - 信号機コメントは `<!-- 🟡 source: screen-spec update -->` を付与する - curl コマンドは実行可能な形で記述する

- curl コマンドは実行可能な形で記述する

- curl コマンドは実行可能な形で記述する

#### セットアップの修正 - 既存の curl コマンドのエンドポイント/ボディを更新する

#### セットアップの修正 - 既存の curl コマンドのエンドポイント/ボディを更新する

- 既存の curl コマンドのエンドポイント/ボディを更新する

- 既存の curl コマンドのエンドポイント/ボディを更新する

--- name: <webtest-plan-name> target-url: http://app:8080/<path>

--- name: <webtest-plan-name> target-url: http://app:8080/<path>

name: <webtest-plan-name> target-url: http://app:8080/<path> status: pending

name: <webtest-plan-name> target-url: http://app:8080/<path> status: pending

target-url: http://app:8080/<path>

target-url: http://app:8080/<path>

# テストユーザー作成 curl -X POST http://app:8080/api/users \

# テストユーザー作成 curl -X POST http://app:8080/api/users \

curl -X POST http://app:8080/api/users \

curl -X POST http://app:8080/api/users \

# 注文データ作成（シナリオ3: 注文履歴表示 の前提） curl -X POST http://app:8080/api/orders \

# 注文データ作成（シナリオ3: 注文履歴表示 の前提） curl -X POST http://app:8080/api/orders \

curl -X POST http://app:8080/api/orders \

curl -X POST http://app:8080/api/orders \

# テストユーザー削除 curl -X DELETE http://app:8080/api/users/test@example.com \

# テストユーザー削除 curl -X DELETE http://app:8080/api/users/test@example.com \

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

- トークン取得が必要な場合は、ファイル共通セットアップの最初にログインAPIを記述し、レスポンスからトークンを取得する手順を含める - ベースURLは frontmatter の `target-url` のホスト部分と合わせる（例: `http://app:8080`） - JSON ボディは最小限のフィールドで、テストに必要十分なデータとする

- トークン取得が必要な場合は、ファイル共通セットアップの最初にログインAPIを記述し、レスポンスからトークンを取得する手順を含める - ベースURLは frontmatter の `target-url` のホスト部分と合わせる（例: `http://app:8080`） - JSON ボディは最小限のフィールドで、テストに必要十分なデータとする

- ベースURLは frontmatter の `target-url` のホスト部分と合わせる（例: `http://app:8080`）

- ベースURLは frontmatter の `target-url` のホスト部分と合わせる（例: `http://app:8080`）

テスト計画の「### ファイル共通」セクション内の curl コマンドを上から順に Docker コンテナ内で実行する:

テスト計画の「### ファイル共通」セクション内の curl コマンドを上から順に Docker コンテナ内で実行する:

docker compose exec playwright bash -c '<curl コマンド>'

docker compose exec playwright bash -c '<curl コマンド>'

「### シナリオN固有」セクションの内容をパースし、シナリオ名と curl コマンドの対応を記録する。実際の実行は各シナリオの直前に行う（Step 5-3 の Agent 委譲時にシナリオ固有セットアップも渡す）。

「### シナリオN固有」セクションの内容をパースし、シナリオ名と curl コマンドの対応を記録する。実際の実行は各シナリオの直前に行う（Step 5-3 の Agent 委譲時にシナリオ固有セットアップも渡す）。

- 実行モード（CLI / MCP）とセッション情報      - グループ内の全シナリオの手順・期待結果・視覚チェックポイント（テスト計画から該当部分を抽出）      - 各シナリオのAPIシナリオ固有セットアップ（curl コマンド、存在する場合のみ）

- 実行モード（CLI / MCP）とセッション情報      - グループ内の全シナリオの手順・期待結果・視覚チェックポイント（テスト計画から該当部分を抽出）      - 各シナリオのAPIシナリオ固有セットアップ（curl コマンド、存在する場合のみ）

- グループ内の全シナリオの手順・期待結果・視覚チェックポイント（テスト計画から該当部分を抽出）      - 各シナリオのAPIシナリオ固有セットアップ（curl コマンド、存在する場合のみ）      - ファイル共通セットアップで取得したトークン（`${TOKEN}` 等の値）

- グループ内の全シナリオの手順・期待結果・視覚チェックポイント（テスト計画から該当部分を抽出）      - 各シナリオのAPIシナリオ固有セットアップ（curl コマンド、存在する場合のみ）      - ファイル共通セットアップで取得したトークン（`${TOKEN}` 等の値）

- 各シナリオのAPIシナリオ固有セットアップ（curl コマンド、存在する場合のみ）

- 各シナリオのAPIシナリオ固有セットアップ（curl コマンド、存在する場合のみ）

- snapshot・screenshot の取り扱いルール（後述の「ルール・制約」を参照）    - Agent はグループ内の各シナリオについて以下を実行する:      a-0. シナリオ固有セットアップがある場合、curl コマンドを Docker 内で実行する:

- snapshot・screenshot の取り扱いルール（後述の「ルール・制約」を参照）    - Agent はグループ内の各シナリオについて以下を実行する:      a-0. シナリオ固有セットアップがある場合、curl コマンドを Docker 内で実行する:

- Agent はグループ内の各シナリオについて以下を実行する:      a-0. シナリオ固有セットアップがある場合、curl コマンドを Docker 内で実行する:         ```bash

- Agent はグループ内の各シナリオについて以下を実行する:      a-0. シナリオ固有セットアップがある場合、curl コマンドを Docker 内で実行する:         ```bash

a-0. シナリオ固有セットアップがある場合、curl コマンドを Docker 内で実行する:

a-0. シナリオ固有セットアップがある場合、curl コマンドを Docker 内で実行する:

```bash         docker compose exec playwright bash -c '<curl コマンド>'         ```

```bash         docker compose exec playwright bash -c '<curl コマンド>'         ```

docker compose exec playwright bash -c '<curl コマンド>'

docker compose exec playwright bash -c '<curl コマンド>'

テスト計画の「## APIクリーンアップ」セクション内の curl コマンドを上から順に Docker コンテナ内で実行する:

テスト計画の「## APIクリーンアップ」セクション内の curl コマンドを上から順に Docker コンテナ内で実行する:

docker compose exec playwright bash -c '<curl コマンド>'

docker compose exec playwright bash -c '<curl コマンド>'

[Credential-related source omitted]

[Credential-related source omitted]

3. レポート生成後、`rm -rf tmp/webtest/results/<plan-name>/` で中間ファイルを削除する

3. レポート生成後、`rm -rf tmp/webtest/results/<plan-name>/` で中間ファイルを削除する

--- name: health-and-top target-url: http://app:8080

--- name: health-and-top target-url: http://app:8080

name: health-and-top target-url: http://app:8080 status: pending

name: health-and-top target-url: http://app:8080 status: pending

target-url: http://app:8080

target-url: http://app:8080

**手順**: 1. `http://app:8080/health` にアクセスする

**手順**: 1. `http://app:8080/health` にアクセスする

1. `http://app:8080/health` にアクセスする

1. `http://app:8080/health` にアクセスする

**手順**: 1. `http://app:8080/` にアクセスする

**手順**: 1. `http://app:8080/` にアクセスする

1. `http://app:8080/` にアクセスする

1. `http://app:8080/` にアクセスする

**手順**: 1. `http://app:8080/nonexistent-page-12345` にアクセスする

**手順**: 1. `http://app:8080/nonexistent-page-12345` にアクセスする

1. `http://app:8080/nonexistent-page-12345` にアクセスする

1. `http://app:8080/nonexistent-page-12345` にアクセスする

# アプリへのアクセス確認 docker compose exec playwright playwright-cli open http://app:8080 --headless

# アプリへのアクセス確認 docker compose exec playwright playwright-cli open http://app:8080 --headless

docker compose exec playwright playwright-cli open http://app:8080 --headless

docker compose exec playwright playwright-cli open http://app:8080 --headless

"chrome-devtools": {       "command": "npx",       "args": ["-y", "chrome-devtools-mcp@latest", "--browserUrl", "http://localhost:9222"]

"chrome-devtools": {       "command": "npx",       "args": ["-y", "chrome-devtools-mcp@latest", "--browserUrl", "http://localhost:9222"]

"command": "npx",       "args": ["-y", "chrome-devtools-mcp@latest", "--browserUrl", "http://localhost:9222"]     }

"command": "npx",       "args": ["-y", "chrome-devtools-mcp@latest", "--browserUrl", "http://localhost:9222"]     }

"args": ["-y", "chrome-devtools-mcp@latest", "--browserUrl", "http://localhost:9222"]

"args": ["-y", "chrome-devtools-mcp@latest", "--browserUrl", "http://localhost:9222"]

# アプリのポートを確認 docker compose exec playwright curl -s http://app:8080/health

# アプリのポートを確認 docker compose exec playwright curl -s http://app:8080/health

docker compose exec playwright curl -s http://app:8080/health

docker compose exec playwright curl -s http://app:8080/health

"playwright": {          "type": "sse",          "url": "http://localhost:8931/sse"

"playwright": {          "type": "sse",          "url": "http://localhost:8931/sse"

"type": "sse",          "url": "http://localhost:8931/sse"        }

"type": "sse",          "url": "http://localhost:8931/sse"        }

"url": "http://localhost:8931/sse"

"url": "http://localhost:8931/sse"

ローカル MCP モードでは Docker ネットワーク内のホスト名（`http://app:<port>`）は使えない。テスト対象 URL には `http://localhost:<port>` を使用する。

ローカル MCP モードでは Docker ネットワーク内のホスト名（`http://app:<port>`）は使えない。テスト対象 URL には `http://localhost:<port>` を使用する。

| `eval "js"` | `browser_evaluate` | JavaScript 実行 |

| `eval "js"` | `browser_evaluate` | JavaScript 実行 |

| 形態 | MCP サーバーの起動方法 | テスト対象 URL | |------|----------------------|---------------| | Docker MCP | コンテナ内で `@playwright/mcp` を起動、SSE 接続 | `http://app:<port>` |

| 形態 | MCP サーバーの起動方法 | テスト対象 URL | |------|----------------------|---------------| | Docker MCP | コンテナ内で `@playwright/mcp` を起動、SSE 接続 | `http://app:<port>` |

|------|----------------------|---------------| | Docker MCP | コンテナ内で `@playwright/mcp` を起動、SSE 接続 | `http://app:<port>` | | ローカル MCP | npx 経由でローカル起動（`.mcp.json`） | `http://localhost:<port>` |

|------|----------------------|---------------| | Docker MCP | コンテナ内で `@playwright/mcp` を起動、SSE 接続 | `http://app:<port>` | | ローカル MCP | npx 経由でローカル起動（`.mcp.json`） | `http://localhost:<port>` |

| Docker MCP | コンテナ内で `@playwright/mcp` を起動、SSE 接続 | `http://app:<port>` |

| Docker MCP | コンテナ内で `@playwright/mcp` を起動、SSE 接続 | `http://app:<port>` |

| ローカル MCP | npx 経由でローカル起動（`.mcp.json`） | `http://localhost:<port>` |

| ローカル MCP | npx 経由でローカル起動（`.mcp.json`） | `http://localhost:<port>` |

browser_navigate → url: "http://localhost:8080/login"

browser_navigate → url: "http://localhost:8080/login"

browser_navigate → url: "http://localhost:8080"

browser_navigate → url: "http://localhost:8080"

browser_navigate → url: "http://localhost:8080/form"

browser_navigate → url: "http://localhost:8080/form"

[Credential-related source omitted]

[Credential-related source omitted]

"console": { "level": "error" },   "network": {     "allowedOrigins": ["https://myapp.example.com"],

"console": { "level": "error" },   "network": {     "allowedOrigins": ["https://myapp.example.com"],

"network": {     "allowedOrigins": ["https://myapp.example.com"],     "blockedOrigins": []

"network": {     "allowedOrigins": ["https://myapp.example.com"],     "blockedOrigins": []

"allowedOrigins": ["https://myapp.example.com"],

"allowedOrigins": ["https://myapp.example.com"],

playwright-cli open http://app:8080/login

playwright-cli open http://app:8080/login

playwright-cli open http://app:8080/login

playwright-cli open http://app:8080/login

# モバイル playwright-cli open http://app:8080 --config=mobile.json

# モバイル playwright-cli open http://app:8080 --config=mobile.json

playwright-cli open http://app:8080 --config=mobile.json

playwright-cli open http://app:8080 --config=mobile.json

playwright-cli open http://app:8080/form

playwright-cli open http://app:8080/form

--- name: <テスト計画名> target-url: http://app:8080/<path>

--- name: <テスト計画名> target-url: http://app:8080/<path>

name: <テスト計画名> target-url: http://app:8080/<path> status: pending | in_progress | done

name: <テスト計画名> target-url: http://app:8080/<path> status: pending | in_progress | done

target-url: http://app:8080/<path>

target-url: http://app:8080/<path>

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

# テストユーザー作成 curl -X POST http://app:8080/api/users \

# テストユーザー作成 curl -X POST http://app:8080/api/users \

curl -X POST http://app:8080/api/users \

curl -X POST http://app:8080/api/users \

# テスト用データ作成（シナリオ2: データ一覧表示 の前提） curl -X POST http://app:8080/api/items \

# テスト用データ作成（シナリオ2: データ一覧表示 の前提） curl -X POST http://app:8080/api/items \

curl -X POST http://app:8080/api/items \

curl -X POST http://app:8080/api/items \

# テストユーザー削除 curl -X DELETE http://app:8080/api/users/test@example.com \

# テストユーザー削除 curl -X DELETE http://app:8080/api/users/test@example.com \

curl -X DELETE http://app:8080/api/users/test@example.com \

curl -X DELETE http://app:8080/api/users/test@example.com \

"section": "1.1 SQLインジェクション",         "page": "6-12",         "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.1 SQLインジェクション",         "page": "6-12",         "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"page": "6-12",         "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"       },

"page": "6-12",         "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"       },

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.1 SQLインジェクション",            "page": "6-12",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.1 SQLインジェクション",            "page": "6-12",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"page": "6-12",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"page": "6-12",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.2 OSコマンドインジェクション",            "page": "13-17",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.2 OSコマンドインジェクション",            "page": "13-17",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"page": "13-17",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"page": "13-17",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.3 パス名パラメータの未チェック/ディレクトリ・トラバーサル",            "page": "18-22",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.3 パス名パラメータの未チェック/ディレクトリ・トラバーサル",            "page": "18-22",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"page": "18-22",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"page": "18-22",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.4 セッション管理の不備",            "page": "23-30",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.4 セッション管理の不備",            "page": "23-30",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"page": "23-30",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"page": "23-30",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.5 クロスサイト・スクリプティング",            "page": "31-43",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.5 クロスサイト・スクリプティング",            "page": "31-43",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"page": "31-43",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"page": "31-43",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.6 CSRF（クロスサイト・リクエスト・フォージェリ）",            "page": "44-50",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.6 CSRF（クロスサイト・リクエスト・フォージェリ）",            "page": "44-50",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"page": "44-50",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"page": "44-50",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.7 HTTPヘッダ・インジェクション",            "page": "51-56",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.7 HTTPヘッダ・インジェクション",            "page": "51-56",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"page": "51-56",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"page": "51-56",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.8 メールヘッダ・インジェクション",            "page": "57-61",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.8 メールヘッダ・インジェクション",            "page": "57-61",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"page": "57-61",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"page": "57-61",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.9 クリックジャッキング",            "page": "62-66",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.9 クリックジャッキング",            "page": "62-66",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"page": "62-66",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"page": "62-66",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.10 バッファオーバーフロー",            "page": "67-71",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.10 バッファオーバーフロー",            "page": "67-71",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"page": "67-71",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"page": "67-71",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.11 アクセス制御や認可制御の欠落",            "page": "72-76",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "1.11 アクセス制御や認可制御の欠落",            "page": "72-76",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"page": "72-76",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"page": "72-76",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

| 配列引数 API 利用 | `exec()` ではなく `pcntl_exec($cmd, $args)` / `subprocess.run([...], shell=False)` などシェルを介さない呼び出し |

| 配列引数 API 利用 | `exec()` ではなく `pcntl_exec($cmd, $args)` / `subprocess.run([...], shell=False)` などシェルを介さない呼び出し |

"section": "<該当節 / チェック項目>",            "page": "<該当ページ>",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "<該当節 / チェック項目>",            "page": "<該当ページ>",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"page": "<該当ページ>",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"page": "<該当ページ>",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"          },

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"url": "https://www.ipa.go.jp/security/vuln/websecurity/about.html"

"section": "<該当節>",            "page": "<該当ページ>",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/sql.html"

"section": "<該当節>",            "page": "<該当ページ>",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/sql.html"

"page": "<該当ページ>",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/sql.html"          },

"page": "<該当ページ>",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/sql.html"          },

"url": "https://www.ipa.go.jp/security/vuln/websecurity/sql.html"

"url": "https://www.ipa.go.jp/security/vuln/websecurity/sql.html"

"section": "<該当診断項目>",            "page": "<該当ページ>",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/healthcheck.html"

"section": "<該当診断項目>",            "page": "<該当ページ>",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/healthcheck.html"

"page": "<該当ページ>",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/healthcheck.html"          },

"page": "<該当ページ>",            "url": "https://www.ipa.go.jp/security/vuln/websecurity/healthcheck.html"          },

"url": "https://www.ipa.go.jp/security/vuln/websecurity/healthcheck.html"

"url": "https://www.ipa.go.jp/security/vuln/websecurity/healthcheck.html"

ipa_section: "1.1 SQLインジェクション" ipa_page: "6-12" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/sql.html

ipa_section: "1.1 SQLインジェクション" ipa_page: "6-12" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/sql.html

ipa_page: "6-12" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/sql.html cwe: CWE-89

ipa_page: "6-12" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/sql.html cwe: CWE-89

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/sql.html

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/sql.html

- 章節: 1.1 SQLインジェクション - ページ: p.6〜12 - URL: https://www.ipa.go.jp/security/vuln/websecurity/sql.html

- 章節: 1.1 SQLインジェクション - ページ: p.6〜12 - URL: https://www.ipa.go.jp/security/vuln/websecurity/sql.html

- ページ: p.6〜12 - URL: https://www.ipa.go.jp/security/vuln/websecurity/sql.html - PDF: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf

- ページ: p.6〜12 - URL: https://www.ipa.go.jp/security/vuln/websecurity/sql.html - PDF: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf

- URL: https://www.ipa.go.jp/security/vuln/websecurity/sql.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/sql.html

- PDF: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf

- PDF: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf

- IPA「安全なウェブサイトの作り方 - 1.1 SQLインジェクション」: https://www.ipa.go.jp/security/vuln/websecurity/sql.html

- IPA「安全なウェブサイトの作り方 - 1.1 SQLインジェクション」: https://www.ipa.go.jp/security/vuln/websecurity/sql.html

- IPA「知っていますか？脆弱性 1. SQLインジェクション」: https://www.ipa.go.jp/security/vuln/vuln_contents/sql.html

- IPA「知っていますか？脆弱性 1. SQLインジェクション」: https://www.ipa.go.jp/security/vuln/vuln_contents/sql.html

- CWE-89: https://cwe.mitre.org/data/definitions/89.html

- CWE-89: https://cwe.mitre.org/data/definitions/89.html

- JVNDB CWE-89: https://jvndb.jvn.jp/ja/cwe/CWE-89.html

- JVNDB CWE-89: https://jvndb.jvn.jp/ja/cwe/CWE-89.html

ipa_section: "1.2 OSコマンド・インジェクション" ipa_page: "13-15" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/os-command.html

ipa_section: "1.2 OSコマンド・インジェクション" ipa_page: "13-15" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/os-command.html

ipa_page: "13-15" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/os-command.html cwe: CWE-78

ipa_page: "13-15" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/os-command.html cwe: CWE-78

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/os-command.html

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/os-command.html

- 章節: 1.2 OS コマンド・インジェクション - ページ: p.13〜15 - URL: https://www.ipa.go.jp/security/vuln/websecurity/os-command.html

- 章節: 1.2 OS コマンド・インジェクション - ページ: p.13〜15 - URL: https://www.ipa.go.jp/security/vuln/websecurity/os-command.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/os-command.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/os-command.html

- `eval()`

- `eval()`

- `exec()`, `passthru()`, `shell_exec()`, `system()`, `popen()`, `proc_open()`

- `exec()`, `passthru()`, `shell_exec()`, `system()`, `popen()`, `proc_open()`

exec("ping " . $_GET['host'], $output);

exec("ping " . $_GET['host'], $output);

exec('ping ' . escapeshellarg($host), $output);

exec('ping ' . escapeshellarg($host), $output);

- IPA「安全なウェブサイトの作り方 - 1.2 OSコマンド・インジェクション」: https://www.ipa.go.jp/security/vuln/websecurity/os-command.html

- IPA「安全なウェブサイトの作り方 - 1.2 OSコマンド・インジェクション」: https://www.ipa.go.jp/security/vuln/websecurity/os-command.html

- CWE-78: https://cwe.mitre.org/data/definitions/78.html

- CWE-78: https://cwe.mitre.org/data/definitions/78.html

ipa_section: "1.3 パス名パラメータの未チェック／ディレクトリ・トラバーサル" ipa_page: "16-18" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/parameter.html

ipa_section: "1.3 パス名パラメータの未チェック／ディレクトリ・トラバーサル" ipa_page: "16-18" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/parameter.html

ipa_page: "16-18" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/parameter.html cwe: CWE-22

ipa_page: "16-18" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/parameter.html cwe: CWE-22

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/parameter.html

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/parameter.html

- 章節: 1.3 パス名パラメータの未チェック／ディレクトリ・トラバーサル - ページ: p.16〜18 - URL: https://www.ipa.go.jp/security/vuln/websecurity/parameter.html

- 章節: 1.3 パス名パラメータの未チェック／ディレクトリ・トラバーサル - ページ: p.16〜18 - URL: https://www.ipa.go.jp/security/vuln/websecurity/parameter.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/parameter.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/parameter.html

- IPA「安全なウェブサイトの作り方 - 1.3 ディレクトリ・トラバーサル」: https://www.ipa.go.jp/security/vuln/websecurity/parameter.html

- IPA「安全なウェブサイトの作り方 - 1.3 ディレクトリ・トラバーサル」: https://www.ipa.go.jp/security/vuln/websecurity/parameter.html

- CWE-22: https://cwe.mitre.org/data/definitions/22.html

- CWE-22: https://cwe.mitre.org/data/definitions/22.html

- JVNDB CWE-22: https://jvndb.jvn.jp/ja/cwe/CWE-22.html

- JVNDB CWE-22: https://jvndb.jvn.jp/ja/cwe/CWE-22.html

ipa_section: "1.4 セッション管理の不備" ipa_page: "19-25" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/session-management.html

ipa_section: "1.4 セッション管理の不備" ipa_page: "19-25" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/session-management.html

ipa_page: "19-25" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/session-management.html cwe: CWE-330 / CWE-384 / CWE-522 / CWE-614

ipa_page: "19-25" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/session-management.html cwe: CWE-330 / CWE-384 / CWE-522 / CWE-614

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/session-management.html

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/session-management.html

- 章節: 1.4 セッション管理の不備 - ページ: p.19〜25 - URL: https://www.ipa.go.jp/security/vuln/websecurity/session-management.html

- 章節: 1.4 セッション管理の不備 - ページ: p.19〜25 - URL: https://www.ipa.go.jp/security/vuln/websecurity/session-management.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/session-management.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/session-management.html

[Credential-related source omitted]

[Credential-related source omitted]

- IPA「安全なウェブサイトの作り方 - 1.4 セッション管理の不備」: https://www.ipa.go.jp/security/vuln/websecurity/session-management.html

- IPA「安全なウェブサイトの作り方 - 1.4 セッション管理の不備」: https://www.ipa.go.jp/security/vuln/websecurity/session-management.html

- 「CSRF」と「Session Fixation」の諸問題について（高木浩光, IPA）: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000197by-att/20060228_3.pdf

- 「CSRF」と「Session Fixation」の諸問題について（高木浩光, IPA）: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000197by-att/20060228_3.pdf

- CWE-330 (Insufficiently Random Values): https://cwe.mitre.org/data/definitions/330.html

- CWE-330 (Insufficiently Random Values): https://cwe.mitre.org/data/definitions/330.html

- CWE-384 (Session Fixation): https://cwe.mitre.org/data/definitions/384.html

- CWE-384 (Session Fixation): https://cwe.mitre.org/data/definitions/384.html

- CWE-522 (Insufficiently Protected Credentials): https://cwe.mitre.org/data/definitions/522.html

- CWE-522 (Insufficiently Protected Credentials): https://cwe.mitre.org/data/definitions/522.html

- CWE-614 (Sensitive Cookie in HTTPS Without 'Secure'): https://cwe.mitre.org/data/definitions/614.html

- CWE-614 (Sensitive Cookie in HTTPS Without 'Secure'): https://cwe.mitre.org/data/definitions/614.html

ipa_section: "1.5 クロスサイト・スクリプティング" ipa_page: "26-32" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html

ipa_section: "1.5 クロスサイト・スクリプティング" ipa_page: "26-32" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html

ipa_page: "26-32" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html cwe: CWE-79

ipa_page: "26-32" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html cwe: CWE-79

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html

- 章節: 1.5 クロスサイト・スクリプティング - ページ: p.26〜32 - URL: https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html

- 章節: 1.5 クロスサイト・スクリプティング - ページ: p.26〜32 - URL: https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html

### 5-(ii) URL を出力するときは、`http://` や `https://` で始まる URL のみを許可する

### 5-(ii) URL を出力するときは、`http://` や `https://` で始まる URL のみを許可する

- `eval(`, `Function(`, `setTimeout(<string>, ...)`, `setInterval(<string>, ...)`

- `eval(`, `Function(`, `setTimeout(<string>, ...)`, `setInterval(<string>, ...)`

- IPA「安全なウェブサイトの作り方 - 1.5 XSS」: https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html

- IPA「安全なウェブサイトの作り方 - 1.5 XSS」: https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html

- CWE-79: https://cwe.mitre.org/data/definitions/79.html

- CWE-79: https://cwe.mitre.org/data/definitions/79.html

- W3C HTML 4.0.1 文字コード: http://www.w3.org/TR/html401/charset.html#h-5.2.2

- W3C HTML 4.0.1 文字コード: http://www.w3.org/TR/html401/charset.html#h-5.2.2

- Content Security Policy Level 2: http://w3c.org/TR/CSP2/

- Content Security Policy Level 2: http://w3c.org/TR/CSP2/

ipa_section: "1.6 CSRF（クロスサイト・リクエスト・フォージェリ）" ipa_page: "33-38" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/csrf.html

ipa_section: "1.6 CSRF（クロスサイト・リクエスト・フォージェリ）" ipa_page: "33-38" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/csrf.html

ipa_page: "33-38" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/csrf.html cwe: CWE-352

ipa_page: "33-38" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/csrf.html cwe: CWE-352

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/csrf.html

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/csrf.html

- 章節: 1.6 CSRF（クロスサイト・リクエスト・フォージェリ） - ページ: p.33〜38 - URL: https://www.ipa.go.jp/security/vuln/websecurity/csrf.html

- 章節: 1.6 CSRF（クロスサイト・リクエスト・フォージェリ） - ページ: p.33〜38 - URL: https://www.ipa.go.jp/security/vuln/websecurity/csrf.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/csrf.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/csrf.html

<!-- NG --> <a href="https://bank.example.com/transfer?to=attacker&amount=10000">送金</a>

<!-- NG --> <a href="https://bank.example.com/transfer?to=attacker&amount=10000">送金</a>

<a href="https://bank.example.com/transfer?to=attacker&amount=10000">送金</a>

<a href="https://bank.example.com/transfer?to=attacker&amount=10000">送金</a>

- IPA「安全なウェブサイトの作り方 - 1.6 CSRF」: https://www.ipa.go.jp/security/vuln/websecurity/csrf.html

- IPA「安全なウェブサイトの作り方 - 1.6 CSRF」: https://www.ipa.go.jp/security/vuln/websecurity/csrf.html

- 高木浩光「CSRF」と「Session Fixation」の諸問題について: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000197by-att/20060228_3.pdf

- 高木浩光「CSRF」と「Session Fixation」の諸問題について: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000197by-att/20060228_3.pdf

- RFC2616 15.1.3（GET を副作用のある処理に使うべきでない）: https://www.ietf.org/rfc/rfc2616.txt

- RFC2616 15.1.3（GET を副作用のある処理に使うべきでない）: https://www.ietf.org/rfc/rfc2616.txt

- JPCERT/CC「HTML5 Web アプリケーションのセキュリティ問題に関する調査報告書」: https://www.jpcert.or.jp/research/html5.html

- JPCERT/CC「HTML5 Web アプリケーションのセキュリティ問題に関する調査報告書」: https://www.jpcert.or.jp/research/html5.html

- CWE-352: https://cwe.mitre.org/data/definitions/352.html

- CWE-352: https://cwe.mitre.org/data/definitions/352.html

ipa_section: "1.7 HTTPヘッダ・インジェクション" ipa_page: "39-41" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/http-header.html

ipa_section: "1.7 HTTPヘッダ・インジェクション" ipa_page: "39-41" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/http-header.html

ipa_page: "39-41" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/http-header.html cwe: CWE-113

ipa_page: "39-41" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/http-header.html cwe: CWE-113

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/http-header.html

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/http-header.html

- 章節: 1.7 HTTP ヘッダ・インジェクション - ページ: p.39〜41 - URL: https://www.ipa.go.jp/security/vuln/websecurity/http-header.html

- 章節: 1.7 HTTP ヘッダ・インジェクション - ページ: p.39〜41 - URL: https://www.ipa.go.jp/security/vuln/websecurity/http-header.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/http-header.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/http-header.html

- IPA「安全なウェブサイトの作り方 - 1.7 HTTP ヘッダ・インジェクション」: https://www.ipa.go.jp/security/vuln/websecurity/http-header.html

- IPA「安全なウェブサイトの作り方 - 1.7 HTTP ヘッダ・インジェクション」: https://www.ipa.go.jp/security/vuln/websecurity/http-header.html

- CWE-113: https://cwe.mitre.org/data/definitions/113.html

- CWE-113: https://cwe.mitre.org/data/definitions/113.html

ipa_section: "1.8 メールヘッダ・インジェクション" ipa_page: "42-44" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html

ipa_section: "1.8 メールヘッダ・インジェクション" ipa_page: "42-44" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html

ipa_page: "42-44" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html cwe: CWE-93

ipa_page: "42-44" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html cwe: CWE-93

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html

- 章節: 1.8 メールヘッダ・インジェクション - ページ: p.42〜44 - URL: https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html

- 章節: 1.8 メールヘッダ・インジェクション - ページ: p.42〜44 - URL: https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html

- IPA「安全なウェブサイトの作り方 - 1.8 メールヘッダ・インジェクション」: https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html

- IPA「安全なウェブサイトの作り方 - 1.8 メールヘッダ・インジェクション」: https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html

- CWE-93 (CRLF Injection): https://cwe.mitre.org/data/definitions/93.html

- CWE-93 (CRLF Injection): https://cwe.mitre.org/data/definitions/93.html

ipa_section: "1.9 クリックジャッキング" ipa_page: "45-47" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html

ipa_section: "1.9 クリックジャッキング" ipa_page: "45-47" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html

ipa_page: "45-47" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html cwe: "直接対応 CWE なし（補足: CWE-1021）"

ipa_page: "45-47" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html cwe: "直接対応 CWE なし（補足: CWE-1021）"

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html

- 章節: 1.9 クリックジャッキング - ページ: p.45〜47 付近 - URL: https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html

- 章節: 1.9 クリックジャッキング - ページ: p.45〜47 付近 - URL: https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html

</style> <div class="bait">ここをクリック！</div> <iframe src="https://victim.example.com/account/delete"></iframe>

</style> <div class="bait">ここをクリック！</div> <iframe src="https://victim.example.com/account/delete"></iframe>

<iframe src="https://victim.example.com/account/delete"></iframe>

<iframe src="https://victim.example.com/account/delete"></iframe>

Content-Security-Policy: frame-ancestors 'none'; Content-Security-Policy: frame-ancestors 'self'; Content-Security-Policy: frame-ancestors 'self' https://trusted.example.com;

Content-Security-Policy: frame-ancestors 'none'; Content-Security-Policy: frame-ancestors 'self'; Content-Security-Policy: frame-ancestors 'self' https://trusted.example.com;

Content-Security-Policy: frame-ancestors 'self' https://trusted.example.com;

Content-Security-Policy: frame-ancestors 'self' https://trusted.example.com;

- IPA「安全なウェブサイトの作り方 - 1.9 クリックジャッキング」: https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html

- IPA「安全なウェブサイトの作り方 - 1.9 クリックジャッキング」: https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html

- RFC 7034「HTTP Header Field X-Frame-Options」: http://www.ietf.org/rfc/rfc7034.txt

- RFC 7034「HTTP Header Field X-Frame-Options」: http://www.ietf.org/rfc/rfc7034.txt

- MDN CSP frame-ancestors: https://developer.mozilla.org/docs/Web/HTTP/Headers/Content-Security-Policy/frame-ancestors

- MDN CSP frame-ancestors: https://developer.mozilla.org/docs/Web/HTTP/Headers/Content-Security-Policy/frame-ancestors

ipa_section: "1.10 バッファオーバーフロー" ipa_page: "45-47" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html

ipa_section: "1.10 バッファオーバーフロー" ipa_page: "45-47" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html

ipa_page: "45-47" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html cwe: CWE-119

ipa_page: "45-47" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html cwe: CWE-119

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html

- 章節: 1.10 バッファオーバーフロー - ページ: p.45〜47 付近 - URL: https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html

- 章節: 1.10 バッファオーバーフロー - ページ: p.45〜47 付近 - URL: https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html

- IPA「安全なウェブサイトの作り方 - 1.10 バッファオーバーフロー」: https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html

- IPA「安全なウェブサイトの作り方 - 1.10 バッファオーバーフロー」: https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html

- CWE-119（バッファエラー）: https://cwe.mitre.org/data/definitions/119.html

- CWE-119（バッファエラー）: https://cwe.mitre.org/data/definitions/119.html

- JVNDB CWE-119: https://jvndb.jvn.jp/ja/cwe/CWE-119.html

- JVNDB CWE-119: https://jvndb.jvn.jp/ja/cwe/CWE-119.html

ipa_section: "1.11 アクセス制御や認可制御の欠落" ipa_page: "45-47" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/access-control.html

ipa_section: "1.11 アクセス制御や認可制御の欠落" ipa_page: "45-47" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/access-control.html

ipa_page: "45-47" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/access-control.html cwe: CWE-264 / CWE-287

ipa_page: "45-47" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/access-control.html cwe: CWE-264 / CWE-287

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/access-control.html

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/access-control.html

- 章節: 1.11 アクセス制御や認可制御の欠落 - ページ: p.45〜47 付近 - URL: https://www.ipa.go.jp/security/vuln/websecurity/access-control.html

- 章節: 1.11 アクセス制御や認可制御の欠落 - ページ: p.45〜47 付近 - URL: https://www.ipa.go.jp/security/vuln/websecurity/access-control.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/access-control.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/access-control.html

- IPA「安全なウェブサイトの作り方 - 1.11 アクセス制御や認可制御の欠落」: https://www.ipa.go.jp/security/vuln/websecurity/access-control.html

- IPA「安全なウェブサイトの作り方 - 1.11 アクセス制御や認可制御の欠落」: https://www.ipa.go.jp/security/vuln/websecurity/access-control.html

- 不正アクセス行為の禁止等に関する法律: https://elaws.e-gov.go.jp/document?lawid=411AC0000000128

- 不正アクセス行為の禁止等に関する法律: https://elaws.e-gov.go.jp/document?lawid=411AC0000000128

- CWE-284 (Improper Access Control): https://cwe.mitre.org/data/definitions/284.html

- CWE-284 (Improper Access Control): https://cwe.mitre.org/data/definitions/284.html

- CWE-285 (Improper Authorization): https://cwe.mitre.org/data/definitions/285.html

- CWE-285 (Improper Authorization): https://cwe.mitre.org/data/definitions/285.html

- CWE-639 (Authorization Bypass Through User-Controlled Key): https://cwe.mitre.org/data/definitions/639.html

- CWE-639 (Authorization Bypass Through User-Controlled Key): https://cwe.mitre.org/data/definitions/639.html

- CWE-862 (Missing Authorization): https://cwe.mitre.org/data/definitions/862.html

- CWE-862 (Missing Authorization): https://cwe.mitre.org/data/definitions/862.html

- CWE-863 (Incorrect Authorization): https://cwe.mitre.org/data/definitions/863.html

- CWE-863 (Incorrect Authorization): https://cwe.mitre.org/data/definitions/863.html

- OWASP Top 10 A01:2021 – Broken Access Control: https://owasp.org/Top10/A01_2021-Broken_Access_Control/

- OWASP Top 10 A01:2021 – Broken Access Control: https://owasp.org/Top10/A01_2021-Broken_Access_Control/

| ページ数 | 115 ページ | | 発行者 | 独立行政法人 情報処理推進機構（IPA） | | PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf |

| ページ数 | 115 ページ | | 発行者 | 独立行政法人 情報処理推進機構（IPA） | | PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf |

| 発行者 | 独立行政法人 情報処理推進機構（IPA） | | PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf | | 紹介ページ URL | https://www.ipa.go.jp/security/vuln/websecurity/about.html |

| 発行者 | 独立行政法人 情報処理推進機構（IPA） | | PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf | | 紹介ページ URL | https://www.ipa.go.jp/security/vuln/websecurity/about.html |

| PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf |

| PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf |

| 紹介ページ URL | https://www.ipa.go.jp/security/vuln/websecurity/about.html |

| 紹介ページ URL | https://www.ipa.go.jp/security/vuln/websecurity/about.html |

| 章節 | 脆弱性 | ページ概略 | 当該ページ URL | | --- | --- | --- | --- | | 1.1 | SQL インジェクション | p.6-12 | https://www.ipa.go.jp/security/vuln/websecurity/sql.html |

| 章節 | 脆弱性 | ページ概略 | 当該ページ URL | | --- | --- | --- | --- | | 1.1 | SQL インジェクション | p.6-12 | https://www.ipa.go.jp/security/vuln/websecurity/sql.html |

| --- | --- | --- | --- | | 1.1 | SQL インジェクション | p.6-12 | https://www.ipa.go.jp/security/vuln/websecurity/sql.html | | 1.2 | OS コマンド・インジェクション | p.13-15 | https://www.ipa.go.jp/security/vuln/websecurity/os-command.html |

| --- | --- | --- | --- | | 1.1 | SQL インジェクション | p.6-12 | https://www.ipa.go.jp/security/vuln/websecurity/sql.html | | 1.2 | OS コマンド・インジェクション | p.13-15 | https://www.ipa.go.jp/security/vuln/websecurity/os-command.html |

| 1.1 | SQL インジェクション | p.6-12 | https://www.ipa.go.jp/security/vuln/websecurity/sql.html |

| 1.1 | SQL インジェクション | p.6-12 | https://www.ipa.go.jp/security/vuln/websecurity/sql.html |

| 1.2 | OS コマンド・インジェクション | p.13-15 | https://www.ipa.go.jp/security/vuln/websecurity/os-command.html |

| 1.2 | OS コマンド・インジェクション | p.13-15 | https://www.ipa.go.jp/security/vuln/websecurity/os-command.html |

| 1.3 | パス名パラメータの未チェック／ディレクトリ・トラバーサル | p.16-18 | https://www.ipa.go.jp/security/vuln/websecurity/parameter.html |

| 1.3 | パス名パラメータの未チェック／ディレクトリ・トラバーサル | p.16-18 | https://www.ipa.go.jp/security/vuln/websecurity/parameter.html |

| 1.4 | セッション管理の不備 | p.19-25 | https://www.ipa.go.jp/security/vuln/websecurity/session-management.html |

| 1.4 | セッション管理の不備 | p.19-25 | https://www.ipa.go.jp/security/vuln/websecurity/session-management.html |

| 1.5 | クロスサイト・スクリプティング（XSS） | p.26-32 | https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html |

| 1.5 | クロスサイト・スクリプティング（XSS） | p.26-32 | https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html |

| 1.6 | CSRF | p.33-38 | https://www.ipa.go.jp/security/vuln/websecurity/csrf.html |

| 1.6 | CSRF | p.33-38 | https://www.ipa.go.jp/security/vuln/websecurity/csrf.html |

| 1.7 | HTTP ヘッダ・インジェクション | p.39-41 | https://www.ipa.go.jp/security/vuln/websecurity/http-header.html |

| 1.7 | HTTP ヘッダ・インジェクション | p.39-41 | https://www.ipa.go.jp/security/vuln/websecurity/http-header.html |

| 1.8 | メールヘッダ・インジェクション | p.42-44 | https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html |

| 1.8 | メールヘッダ・インジェクション | p.42-44 | https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html |

| 1.9 | クリックジャッキング | p.45-47 | https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html |

| 1.9 | クリックジャッキング | p.45-47 | https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html |

| 1.10 | バッファオーバーフロー | p.45-47 | https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html |

| 1.10 | バッファオーバーフロー | p.45-47 | https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html |

| 1.11 | アクセス制御や認可制御の欠落 | p.45-47 | https://www.ipa.go.jp/security/vuln/websecurity/access-control.html |

| 1.11 | アクセス制御や認可制御の欠落 | p.45-47 | https://www.ipa.go.jp/security/vuln/websecurity/access-control.html |

| 発行者 | 独立行政法人 情報処理推進機構（IPA） | | 執筆者 | 徳丸 浩、永安 佑希允、相馬 基邦、勝海 直人、高木 浩光（産業技術総合研究所） | | PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf |

| 発行者 | 独立行政法人 情報処理推進機構（IPA） | | 執筆者 | 徳丸 浩、永安 佑希允、相馬 基邦、勝海 直人、高木 浩光（産業技術総合研究所） | | PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf |

| 執筆者 | 徳丸 浩、永安 佑希允、相馬 基邦、勝海 直人、高木 浩光（産業技術総合研究所） | | PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf | | 関連 URL | https://www.ipa.go.jp/security/vuln/websecurity.html |

| 執筆者 | 徳丸 浩、永安 佑希允、相馬 基邦、勝海 直人、高木 浩光（産業技術総合研究所） | | PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf | | 関連 URL | https://www.ipa.go.jp/security/vuln/websecurity.html |

| PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf |

| PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf |

| 関連 URL | https://www.ipa.go.jp/security/vuln/websecurity.html |

| 関連 URL | https://www.ipa.go.jp/security/vuln/websecurity.html |

| 編集責任 | 小林 偉昭 | | 原典 | 財団法人地方自治情報センター（LASDEC）「ウェブ健康診断事業」（平成20年度版/平成22年度版） | | PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf |

| 編集責任 | 小林 偉昭 | | 原典 | 財団法人地方自治情報センター（LASDEC）「ウェブ健康診断事業」（平成20年度版/平成22年度版） | | PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf |

| 原典 | 財団法人地方自治情報センター（LASDEC）「ウェブ健康診断事業」（平成20年度版/平成22年度版） | | PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf | | 関連 URL | https://www.ipa.go.jp/security/vuln/websecurity.html |

| 原典 | 財団法人地方自治情報センター（LASDEC）「ウェブ健康診断事業」（平成20年度版/平成22年度版） | | PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf | | 関連 URL | https://www.ipa.go.jp/security/vuln/websecurity.html |

| PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf |

| PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf |

| 関連 URL | https://www.ipa.go.jp/security/vuln/websecurity.html |

| 関連 URL | https://www.ipa.go.jp/security/vuln/websecurity.html |

| 正式名称 | 安全なウェブサイトの運用管理に向けての20ヶ条 | | 発行者 | 独立行政法人 情報処理推進機構（IPA） | | URL | https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html |

| 正式名称 | 安全なウェブサイトの運用管理に向けての20ヶ条 | | 発行者 | 独立行政法人 情報処理推進機構（IPA） | | URL | https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html |

| URL | https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html |

| URL | https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html |

| 正式名称 | セキュリティ実装チェックリスト | | 出典 | 「安全なウェブサイトの作り方」改訂第7版 巻末（p.105〜108） | | Excel URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000044403.xlsx |

| 正式名称 | セキュリティ実装チェックリスト | | 出典 | 「安全なウェブサイトの作り方」改訂第7版 巻末（p.105〜108） | | Excel URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000044403.xlsx |

| 出典 | 「安全なウェブサイトの作り方」改訂第7版 巻末（p.105〜108） | | Excel URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000044403.xlsx | | PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf （

| 出典 | 「安全なウェブサイトの作り方」改訂第7版 巻末（p.105〜108） | | Excel URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000044403.xlsx | | PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf （

| Excel URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000044403.xlsx |

| Excel URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000044403.xlsx |

| PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf （巻末 p.105〜） |

| PDF URL | https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf （巻末 p.105〜） |

| --- | --- | | 名称 | 共通脆弱性タイプ一覧 CWE 概説 | | URL | https://www.ipa.go.jp/security/vuln/CWE.html |

| --- | --- | | 名称 | 共通脆弱性タイプ一覧 CWE 概説 | | URL | https://www.ipa.go.jp/security/vuln/CWE.html |

| URL | https://www.ipa.go.jp/security/vuln/CWE.html |

| URL | https://www.ipa.go.jp/security/vuln/CWE.html |

| --- | --- | | 名称 | 脆弱性関連情報の届出 | | URL | https://www.ipa.go.jp/security/vuln/report/index.html |

| --- | --- | | 名称 | 脆弱性関連情報の届出 | | URL | https://www.ipa.go.jp/security/vuln/report/index.html |

| URL | https://www.ipa.go.jp/security/vuln/report/index.html |

| URL | https://www.ipa.go.jp/security/vuln/report/index.html |

ipa_section: "巻末セキュリティ実装チェックリスト + 20ヶ条" ipa_page: "105-108 (実装チェックリスト) / N/A (20ヶ条)" ipa_url: "https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html

ipa_section: "巻末セキュリティ実装チェックリスト + 20ヶ条" ipa_page: "105-108 (実装チェックリスト) / N/A (20ヶ条)" ipa_url: "https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html

ipa_page: "105-108 (実装チェックリスト) / N/A (20ヶ条)" ipa_url: "https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html" cwe: 複数（各項目参照）

ipa_page: "105-108 (実装チェックリスト) / N/A (20ヶ条)" ipa_url: "https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html" cwe: 複数（各項目参照）

ipa_url: "https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html"

ipa_url: "https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html"

### A. セキュリティ実装チェックリスト - 出典: 安全なウェブサイトの作り方 改訂第7版（IPA, 2021年3月31日）巻末「チェックリスト」（p.105〜108） - PDF: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf

### A. セキュリティ実装チェックリスト - 出典: 安全なウェブサイトの作り方 改訂第7版（IPA, 2021年3月31日）巻末「チェックリスト」（p.105〜108） - PDF: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf

- 出典: 安全なウェブサイトの作り方 改訂第7版（IPA, 2021年3月31日）巻末「チェックリスト」（p.105〜108） - PDF: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf - Excel: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/0000444

- 出典: 安全なウェブサイトの作り方 改訂第7版（IPA, 2021年3月31日）巻末「チェックリスト」（p.105〜108） - PDF: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf - Excel: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/0000444

- PDF: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf

- PDF: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf

- Excel: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000044403.xlsx

- Excel: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000044403.xlsx

### B. 安全なウェブサイトの運用管理に向けての20ヶ条 - 出典: IPA「安全なウェブサイトの運用管理に向けての20ヶ条」 - URL: https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html

### B. 安全なウェブサイトの運用管理に向けての20ヶ条 - 出典: IPA「安全なウェブサイトの運用管理に向けての20ヶ条」 - URL: https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html

- URL: https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html

| 2-(i) | 根本 | シェルを起動できる言語機能の利用を避ける | `system()`, `exec()` 等の使用検出 |

| 2-(i) | 根本 | シェルを起動できる言語機能の利用を避ける | `system()`, `exec()` 等の使用検出 |

| --- | --- | --- | --- | | 5-(i) | 根本 | ウェブページに出力する全ての要素に対して、エスケープ処理を施す | テンプレートの自動エスケープ ON、生出力タグの検出 | | 5-(ii) | 根本 | URL を出力するときは、`http://` や `https://` で始まる URL のみを許可する | リンク／リダイレクト先 URL 検査 |

| --- | --- | --- | --- | | 5-(i) | 根本 | ウェブページに出力する全ての要素に対して、エスケープ処理を施す | テンプレートの自動エスケープ ON、生出力タグの検出 | | 5-(ii) | 根本 | URL を出力するときは、`http://` や `https://` で始まる URL のみを許可する | リンク／リダイレクト先 URL 検査 |

| 5-(i) | 根本 | ウェブページに出力する全ての要素に対して、エスケープ処理を施す | テンプレートの自動エスケープ ON、生出力タグの検出 | | 5-(ii) | 根本 | URL を出力するときは、`http://` や `https://` で始まる URL のみを許可する | リンク／リダイレクト先 URL 検査 | | 5-(iii) | 根本 | `<script>...</script>` 要素の内容を動的に生成しない | スクリプトタグ内への変数埋

| 5-(i) | 根本 | ウェブページに出力する全ての要素に対して、エスケープ処理を施す | テンプレートの自動エスケープ ON、生出力タグの検出 | | 5-(ii) | 根本 | URL を出力するときは、`http://` や `https://` で始まる URL のみを許可する | リンク／リダイレクト先 URL 検査 | | 5-(iii) | 根本 | `<script>...</script>` 要素の内容を動的に生成しない | スクリプトタグ内への変数埋

| 5-(ii) | 根本 | URL を出力するときは、`http://` や `https://` で始まる URL のみを許可する | リンク／リダイレクト先 URL 検査 |

| 5-(ii) | 根本 | URL を出力するときは、`http://` や `https://` で始まる URL のみを許可する | リンク／リダイレクト先 URL 検査 |

URL: https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html

URL: https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html

[Credential-related source omitted]

[Credential-related source omitted]

- **自動チェック観点**:   - **HTTPS リダイレクト** (port 80 → 443):     - nginx: `return 301 https://$host$request_uri;`

- **自動チェック観点**:   - **HTTPS リダイレクト** (port 80 → 443):     - nginx: `return 301 https://$host$request_uri;`

- **HTTPS リダイレクト** (port 80 → 443):     - nginx: `return 301 https://$host$request_uri;`     - Apache: `RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]`

- **HTTPS リダイレクト** (port 80 → 443):     - nginx: `return 301 https://$host$request_uri;`     - Apache: `RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]`

- nginx: `return 301 https://$host$request_uri;`

- nginx: `return 301 https://$host$request_uri;`

- Apache: `RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]`

- Apache: `RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]`

- `ssl_ciphers` に `RC4`, `DES`, `3DES`, `MD5`, `NULL` を含まない     - `ssl_prefer_server_ciphers on;`   - **混在コンテンツ**: HTML/JS/CSS 中の `http://` 外部リソース URL

- `ssl_ciphers` に `RC4`, `DES`, `3DES`, `MD5`, `NULL` を含まない     - `ssl_prefer_server_ciphers on;`   - **混在コンテンツ**: HTML/JS/CSS 中の `http://` 外部リソース URL

- **混在コンテンツ**: HTML/JS/CSS 中の `http://` 外部リソース URL

- **混在コンテンツ**: HTML/JS/CSS 中の `http://` 外部リソース URL

- `chmod 777` のようなパーミッション設定

- `chmod 777` のようなパーミッション設定

| 観点 | 対象ファイル | 検出パターン例 | | --- | --- | --- | | HTTPS 強制 | `nginx.conf`, `.htaccess`, `web.config`, `application.yml` | `return 301 https://`, `RewriteRule ... https` |

| 観点 | 対象ファイル | 検出パターン例 | | --- | --- | --- | | HTTPS 強制 | `nginx.conf`, `.htaccess`, `web.config`, `application.yml` | `return 301 https://`, `RewriteRule ... https` |

| --- | --- | --- | | HTTPS 強制 | `nginx.conf`, `.htaccess`, `web.config`, `application.yml` | `return 301 https://`, `RewriteRule ... https` | | HSTS | `nginx.conf`, ミドルウェア | `Strict-Transport-Security` ヘッダ付与 |

| --- | --- | --- | | HTTPS 強制 | `nginx.conf`, `.htaccess`, `web.config`, `application.yml` | `return 301 https://`, `RewriteRule ... https` | | HSTS | `nginx.conf`, ミドルウェア | `Strict-Transport-Security` ヘッダ付与 |

| HTTPS 強制 | `nginx.conf`, `.htaccess`, `web.config`, `application.yml` | `return 301 https://`, `RewriteRule ... https` |

| HTTPS 強制 | `nginx.conf`, `.htaccess`, `web.config`, `application.yml` | `return 301 https://`, `RewriteRule ... https` |

| シェル実行 | `exec()`, `system()`, `Runtime.exec()`, `subprocess.call(shell=True)` |

| シェル実行 | `exec()`, `system()`, `Runtime.exec()`, `subprocess.call(shell=True)` |

- IPA「安全なウェブサイトの運用管理に向けての20ヶ条」: https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html

- IPA「安全なウェブサイトの運用管理に向けての20ヶ条」: https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html

- IPA「安全なウェブサイトの作り方」改訂第7版 PDF: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf

- IPA「安全なウェブサイトの作り方」改訂第7版 PDF: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017316.pdf

- IPA「セキュリティ実装チェックリスト」（xlsx）: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000044403.xlsx

- IPA「セキュリティ実装チェックリスト」（xlsx）: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000044403.xlsx

- IPA「CWE 概説」: https://www.ipa.go.jp/security/vuln/CWE.html

- IPA「CWE 概説」: https://www.ipa.go.jp/security/vuln/CWE.html

- IPA「脆弱性関連情報の届出」: https://www.ipa.go.jp/security/vuln/report/index.html

- IPA「脆弱性関連情報の届出」: https://www.ipa.go.jp/security/vuln/report/index.html

ipa_section: "全章（第1〜5章 + 付録A）" ipa_page: "1-40" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf

ipa_section: "全章（第1〜5章 + 付録A）" ipa_page: "1-40" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf

ipa_page: "1-40" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf cwe: CWE-89

ipa_page: "1-40" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf cwe: CWE-89

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf

- 発行者: 独立行政法人 情報処理推進機構（IPA） - 執筆者: 徳丸 浩、永安 佑希允、相馬 基邦、勝海 直人、高木 浩光（産業技術総合研究所） - PDF URL: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf

- 発行者: 独立行政法人 情報処理推進機構（IPA） - 執筆者: 徳丸 浩、永安 佑希允、相馬 基邦、勝海 直人、高木 浩光（産業技術総合研究所） - PDF URL: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf

- 執筆者: 徳丸 浩、永安 佑希允、相馬 基邦、勝海 直人、高木 浩光（産業技術総合研究所） - PDF URL: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf - 関連 URL: https://www.ipa.go.jp/security/vuln/websecurity.html

- 執筆者: 徳丸 浩、永安 佑希允、相馬 基邦、勝海 直人、高木 浩光（産業技術総合研究所） - PDF URL: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf - 関連 URL: https://www.ipa.go.jp/security/vuln/websecurity.html

- PDF URL: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf

- PDF URL: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf

- 関連 URL: https://www.ipa.go.jp/security/vuln/websecurity.html

- 関連 URL: https://www.ipa.go.jp/security/vuln/websecurity.html

- IPA「安全な SQL の呼び出し方」 PDF: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf

- IPA「安全な SQL の呼び出し方」 PDF: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017320.pdf

- IPA「安全なウェブサイトの作り方」: https://www.ipa.go.jp/security/vuln/websecurity.html

- IPA「安全なウェブサイトの作り方」: https://www.ipa.go.jp/security/vuln/websecurity.html

- JVN#59748723: MySQL Connector/J における SQL インジェクション脆弱性: http://jvn.jp/jp/JVN59748723/index.html

- JVN#59748723: MySQL Connector/J における SQL インジェクション脆弱性: http://jvn.jp/jp/JVN59748723/index.html

- マイクロソフト MSDN「Unicode データの使用」: http://msdn.microsoft.com/ja-jp/library/ms191200.aspx

- マイクロソフト MSDN「Unicode データの使用」: http://msdn.microsoft.com/ja-jp/library/ms191200.aspx

ipa_section: "全章（13診断項目）" ipa_page: "1-30" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf

ipa_section: "全章（13診断項目）" ipa_page: "1-30" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf

ipa_page: "1-30" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf cwe: 複数（各項目参照）

ipa_page: "1-30" ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf cwe: 複数（各項目参照）

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf

ipa_url: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf

- 編集責任: 小林 偉昭 - 原典: 財団法人地方自治情報センター（LASDEC）「ウェブ健康診断事業」（平成20年度版/平成22年度版） - PDF URL: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf

- 編集責任: 小林 偉昭 - 原典: 財団法人地方自治情報センター（LASDEC）「ウェブ健康診断事業」（平成20年度版/平成22年度版） - PDF URL: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf

- 原典: 財団法人地方自治情報センター（LASDEC）「ウェブ健康診断事業」（平成20年度版/平成22年度版） - PDF URL: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf - 関連 URL: https://www.ipa.go.jp/security/vuln/websecurity.html

- 原典: 財団法人地方自治情報センター（LASDEC）「ウェブ健康診断事業」（平成20年度版/平成22年度版） - PDF URL: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf - 関連 URL: https://www.ipa.go.jp/security/vuln/websecurity.html

- PDF URL: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf

- PDF URL: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf

- 関連 URL: https://www.ipa.go.jp/security/vuln/websecurity.html

- 関連 URL: https://www.ipa.go.jp/security/vuln/websecurity.html

クエリストリング等の URL を別ドメイン（`http://www.example.jp/`）に変更してリクエスト送信し、Location/META Refresh/JS でその URL に遷移するか。

クエリストリング等の URL を別ドメイン（`http://www.example.jp/`）に変更してリクエスト送信し、Location/META Refresh/JS でその URL に遷移するか。

- IPA「ウェブ健康診断仕様」(PDF): https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf

- IPA「ウェブ健康診断仕様」(PDF): https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf

- IPA「安全なウェブサイトの作り方」: https://www.ipa.go.jp/security/vuln/websecurity.html

- IPA「安全なウェブサイトの作り方」: https://www.ipa.go.jp/security/vuln/websecurity.html

- 旧 LASDEC「ウェブ健康診断」: https://www.lasdec.or.jp/cms/12,1284.html （IPA へ移管済み）

- 旧 LASDEC「ウェブ健康診断」: https://www.lasdec.or.jp/cms/12,1284.html （IPA へ移管済み）

- **File**: `src/users.php:45:12` - **Category**: SQL Injection (CWE-89) - **IPA**: [安全なウェブサイトの作り方 改訂第7版 1.1 SQLインジェクション (p.6-12)](https://www.ipa.go.jp/security/vuln/websecurity/about.html)

- **File**: `src/users.php:45:12` - **Category**: SQL Injection (CWE-89) - **IPA**: [安全なウェブサイトの作り方 改訂第7版 1.1 SQLインジェクション (p.6-12)](https://www.ipa.go.jp/security/vuln/websecurity/about.html)

- **Category**: SQL Injection (CWE-89) - **IPA**: [安全なウェブサイトの作り方 改訂第7版 1.1 SQLインジェクション (p.6-12)](https://www.ipa.go.jp/security/vuln/websecurity/about.html) - **Remediation Type**: 根本的解決

- **Category**: SQL Injection (CWE-89) - **IPA**: [安全なウェブサイトの作り方 改訂第7版 1.1 SQLインジェクション (p.6-12)](https://www.ipa.go.jp/security/vuln/websecurity/about.html) - **Remediation Type**: 根本的解決

- **IPA**: [安全なウェブサイトの作り方 改訂第7版 1.1 SQLインジェクション (p.6-12)](https://www.ipa.go.jp/security/vuln/websecurity/about.html)

- **IPA**: [安全なウェブサイトの作り方 改訂第7版 1.1 SQLインジェクション (p.6-12)](https://www.ipa.go.jp/security/vuln/websecurity/about.html)

"name": "IPA Security Check Skill",     "version": "1.0.0",     "informationUri": "https://www.ipa.go.jp/security/vuln/websecurity/about.html",

"name": "IPA Security Check Skill",     "version": "1.0.0",     "informationUri": "https://www.ipa.go.jp/security/vuln/websecurity/about.html",

"version": "1.0.0",     "informationUri": "https://www.ipa.go.jp/security/vuln/websecurity/about.html",     "rules": [...]

"version": "1.0.0",     "informationUri": "https://www.ipa.go.jp/security/vuln/websecurity/about.html",     "rules": [...]

"informationUri": "https://www.ipa.go.jp/security/vuln/websecurity/about.html",

"informationUri": "https://www.ipa.go.jp/security/vuln/websecurity/about.html",

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.11 アクセス制御や認可制御の欠落"   url: https://www.ipa.go.jp/security/vuln/websecurity/access-control.html

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.11 アクセス制御や認可制御の欠落"   url: https://www.ipa.go.jp/security/vuln/websecurity/access-control.html

section: "1.11 アクセス制御や認可制御の欠落"   url: https://www.ipa.go.jp/security/vuln/websecurity/access-control.html cwe:

section: "1.11 アクセス制御や認可制御の欠落"   url: https://www.ipa.go.jp/security/vuln/websecurity/access-control.html cwe:

url: https://www.ipa.go.jp/security/vuln/websecurity/access-control.html

url: https://www.ipa.go.jp/security/vuln/websecurity/access-control.html

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.10 バッファオーバーフロー"   url: https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.10 バッファオーバーフロー"   url: https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html

section: "1.10 バッファオーバーフロー"   url: https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html cwe:

section: "1.10 バッファオーバーフロー"   url: https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html cwe:

url: https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html

url: https://www.ipa.go.jp/security/vuln/websecurity/bach-overflow.html

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.9 クリックジャッキング"   url: https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.9 クリックジャッキング"   url: https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html

section: "1.9 クリックジャッキング"   url: https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html cwe: CWE-1021

section: "1.9 クリックジャッキング"   url: https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html cwe: CWE-1021

url: https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html

url: https://www.ipa.go.jp/security/vuln/websecurity/clickjacking.html

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.6 CSRF"   url: https://www.ipa.go.jp/security/vuln/websecurity/csrf.html

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.6 CSRF"   url: https://www.ipa.go.jp/security/vuln/websecurity/csrf.html

section: "1.6 CSRF"   url: https://www.ipa.go.jp/security/vuln/websecurity/csrf.html cwe: CWE-352

section: "1.6 CSRF"   url: https://www.ipa.go.jp/security/vuln/websecurity/csrf.html cwe: CWE-352

url: https://www.ipa.go.jp/security/vuln/websecurity/csrf.html

url: https://www.ipa.go.jp/security/vuln/websecurity/csrf.html

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.3 パス名パラメータの未チェック／ディレクトリ・トラバーサル"   url: https://www.ipa.go.jp/security/vuln/websecurity/parameter.html

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.3 パス名パラメータの未チェック／ディレクトリ・トラバーサル"   url: https://www.ipa.go.jp/security/vuln/websecurity/parameter.html

section: "1.3 パス名パラメータの未チェック／ディレクトリ・トラバーサル"   url: https://www.ipa.go.jp/security/vuln/websecurity/parameter.html cwe: CWE-22

section: "1.3 パス名パラメータの未チェック／ディレクトリ・トラバーサル"   url: https://www.ipa.go.jp/security/vuln/websecurity/parameter.html cwe: CWE-22

url: https://www.ipa.go.jp/security/vuln/websecurity/parameter.html

url: https://www.ipa.go.jp/security/vuln/websecurity/parameter.html

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.7 HTTPヘッダ・インジェクション"   url: https://www.ipa.go.jp/security/vuln/websecurity/http-header.html

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.7 HTTPヘッダ・インジェクション"   url: https://www.ipa.go.jp/security/vuln/websecurity/http-header.html

section: "1.7 HTTPヘッダ・インジェクション"   url: https://www.ipa.go.jp/security/vuln/websecurity/http-header.html cwe: CWE-113

section: "1.7 HTTPヘッダ・インジェクション"   url: https://www.ipa.go.jp/security/vuln/websecurity/http-header.html cwe: CWE-113

url: https://www.ipa.go.jp/security/vuln/websecurity/http-header.html

url: https://www.ipa.go.jp/security/vuln/websecurity/http-header.html

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.8 メールヘッダ・インジェクション"   url: https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.8 メールヘッダ・インジェクション"   url: https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html

section: "1.8 メールヘッダ・インジェクション"   url: https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html cwe: CWE-93

section: "1.8 メールヘッダ・インジェクション"   url: https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html cwe: CWE-93

url: https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html

url: https://www.ipa.go.jp/security/vuln/websecurity/mail-header.html

document: 安全なウェブサイトの運用管理に向けての20ヶ条 / 実装チェックリスト   section: "20条 / 第7版巻末チェックリスト"   url: https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html

document: 安全なウェブサイトの運用管理に向けての20ヶ条 / 実装チェックリスト   section: "20条 / 第7版巻末チェックリスト"   url: https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html

url: https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html

url: https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

patterns:           - type: regex             regex: 'RewriteRule\s+[^]]*https://%\{HTTP_HOST\}'

patterns:           - type: regex             regex: 'RewriteRule\s+[^]]*https://%\{HTTP_HOST\}'

- type: regex             regex: 'RewriteRule\s+[^]]*https://%\{HTTP_HOST\}'             description: "Apache HTTPS リダイレクト (OK signal)"

- type: regex             regex: 'RewriteRule\s+[^]]*https://%\{HTTP_HOST\}'             description: "Apache HTTPS リダイレクト (OK signal)"

regex: 'RewriteRule\s+[^]]*https://%\{HTTP_HOST\}'

regex: 'RewriteRule\s+[^]]*https://%\{HTTP_HOST\}'

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

[Credential-related source omitted]

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.2 OSコマンド・インジェクション"   url: https://www.ipa.go.jp/security/vuln/websecurity/os-command.html

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.2 OSコマンド・インジェクション"   url: https://www.ipa.go.jp/security/vuln/websecurity/os-command.html

section: "1.2 OSコマンド・インジェクション"   url: https://www.ipa.go.jp/security/vuln/websecurity/os-command.html cwe: CWE-78

section: "1.2 OSコマンド・インジェクション"   url: https://www.ipa.go.jp/security/vuln/websecurity/os-command.html cwe: CWE-78

url: https://www.ipa.go.jp/security/vuln/websecurity/os-command.html

url: https://www.ipa.go.jp/security/vuln/websecurity/os-command.html

document: 安全なSQLの呼び出し方   section: "詳細検出パターン (SQL別冊)"   url: https://www.ipa.go.jp/security/vuln/websecurity/about.html

document: 安全なSQLの呼び出し方   section: "詳細検出パターン (SQL別冊)"   url: https://www.ipa.go.jp/security/vuln/websecurity/about.html

section: "詳細検出パターン (SQL別冊)"   url: https://www.ipa.go.jp/security/vuln/websecurity/about.html cwe: CWE-89

section: "詳細検出パターン (SQL別冊)"   url: https://www.ipa.go.jp/security/vuln/websecurity/about.html cwe: CWE-89

url: https://www.ipa.go.jp/security/vuln/websecurity/about.html

url: https://www.ipa.go.jp/security/vuln/websecurity/about.html

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.4 セッション管理の不備"   url: https://www.ipa.go.jp/security/vuln/websecurity/session-management.html

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.4 セッション管理の不備"   url: https://www.ipa.go.jp/security/vuln/websecurity/session-management.html

section: "1.4 セッション管理の不備"   url: https://www.ipa.go.jp/security/vuln/websecurity/session-management.html cwe:

section: "1.4 セッション管理の不備"   url: https://www.ipa.go.jp/security/vuln/websecurity/session-management.html cwe:

url: https://www.ipa.go.jp/security/vuln/websecurity/session-management.html

url: https://www.ipa.go.jp/security/vuln/websecurity/session-management.html

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.1 SQLインジェクション"   url: https://www.ipa.go.jp/security/vuln/websecurity/sql.html

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.1 SQLインジェクション"   url: https://www.ipa.go.jp/security/vuln/websecurity/sql.html

section: "1.1 SQLインジェクション"   url: https://www.ipa.go.jp/security/vuln/websecurity/sql.html cwe: CWE-89

section: "1.1 SQLインジェクション"   url: https://www.ipa.go.jp/security/vuln/websecurity/sql.html cwe: CWE-89

url: https://www.ipa.go.jp/security/vuln/websecurity/sql.html

url: https://www.ipa.go.jp/security/vuln/websecurity/sql.html

document: ウェブ健康診断仕様   section: "13 診断項目 (A〜M)"   url: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf

document: ウェブ健康診断仕様   section: "13 診断項目 (A〜M)"   url: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf

url: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf

url: https://www.ipa.go.jp/security/vuln/websecurity/ug65p900000196e2-att/000017319.pdf

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.5 クロスサイト・スクリプティング"   url: https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html

document: 安全なウェブサイトの作り方 改訂第7版   section: "1.5 クロスサイト・スクリプティング"   url: https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html

section: "1.5 クロスサイト・スクリプティング"   url: https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html cwe: CWE-79

section: "1.5 クロスサイト・スクリプティング"   url: https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html cwe: CWE-79

url: https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html

url: https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html

#!/usr/bin/env python3

#!/usr/bin/env python3

return {         "$schema": "https://json.schemastore.org/sarif-2.1.0.json",

return {         "$schema": "https://json.schemastore.org/sarif-2.1.0.json",

"$schema": "https://json.schemastore.org/sarif-2.1.0.json",

"$schema": "https://json.schemastore.org/sarif-2.1.0.json",

"name": "IPA Security Check Skill",                         "version": "1.0.0",                         "informationUri": "https://www.ipa.go.jp/security/vuln/websecurity/about.html",

"name": "IPA Security Check Skill",                         "version": "1.0.0",                         "informationUri": "https://www.ipa.go.jp/security/vuln/websecurity/about.html",

"version": "1.0.0",                         "informationUri": "https://www.ipa.go.jp/security/vuln/websecurity/about.html",                         "rules": rules,

"version": "1.0.0",                         "informationUri": "https://www.ipa.go.jp/security/vuln/websecurity/about.html",                         "rules": rules,

"informationUri": "https://www.ipa.go.jp/security/vuln/websecurity/about.html",

"informationUri": "https://www.ipa.go.jp/security/vuln/websecurity/about.html",

#!/usr/bin/env python3

#!/usr/bin/env python3

公式: https://www.ipa.go.jp/security/vuln/websecurity/about.html

公式: https://www.ipa.go.jp/security/vuln/websecurity/about.html

{   "$schema": "https://json.schemastore.org/sarif-2.1.0.json",

{   "$schema": "https://json.schemastore.org/sarif-2.1.0.json",