パス要素によって表現するための手段です。上のサービスを構築する際のアーキテクチャスタイルを指す言葉です。使用してシステム上のエンティティを指定することを可能にします。ベースのサービスに役立つベストプラクティスのガイドとして使用できます。キーを使用することによって、セッションベースの認証を使用する必要があります。含まれていてはいけません。サーバーログに取り込まれる可能性があり、これらの情報がログに記録されてしまいます。サービスの多くは、できるだけステートレスであるように作成されます。トランザクションの一部としてやりとりされることになります。キーのみを使用することを検討してください。アプリで使用されている方法とまさに同じであり、ほどほどに安全です。切り取って貼り付けることによって、他人になりすまします。アドレスに対して生成された、時間制限のある暗号化キーを使用することを検討してください。リプレイ攻撃対策として、認証トークンを保持するローカルクライアントストレージに対する何らかの保護を実装してください。容易に復号化できるようであってはなりません。内部の状態を変更して大幅な改善を図ります。挿入してはなりません。助けを求めるはめになります。サービスの情報を集約して一か所からアクセスできるようにするサービスが作られています。このような使い方を阻止する技術的な方法はないため、高速のファーミングを有料で可能にする、あるいは契約条件に基づいてサービスを制限するなど、ビジネスモデルとして推進する手段を検討すべきです。これに類似するその他の方法は、比較的単純な不正利用者に対処するために役立つ場合がありますが、資金面や技術面で余裕のある不正利用者には対処できません。証明書の使用は、信頼された組織へのアクセスを制限するための手段になることもありますが、これは決して確実なものではありません。証明書が故意にまたは誤って外部に流出した場合、制限は確実なものとはなりません。個々のリソースコレクション、ユーザー、アクションのすべてに対して、これらのすべてが有効なわけではありません。キーと、関連するリソースコレクション、アクション、およびレコードに対して有効であることを確認する必要があります。操作については許可しても問題ありません。それに対し、図書館員の場合は、これらのどちらの使用についても有効です。対して複数のメソッドを許可することで実現することがよくあります。既存のエンティティの削除に使用されます。許可対象のメソッドを適切に制限することが重要です。返されるようにします。これを適切に実装することは難しい場合があります。Tampering」を参照してください。サービスに対する権利を保有しているわけではありません。これは非常に重要です。サービスが悪用されないようにする必要があるからです。本文パラメーターとともに送信することによって、特権を必要とするコレクションやアクションが不正に使用されることを適切に防ぐ必要があります。保護することが重要です。代表的な方法として、トークンベースのアプローチがあります。防止策に関するチートシート」を参照してください。防止方法についてもよく理解してください。サービスについては、主キーと外部キーに対する十分なチェックが必ず実行されるようにする必要があります。https://example.com/account/325365436/transfer?amount=$100.00&toAccount=473846376この場合、あらゆる口座から他のあらゆる口座への送金ができてしまいます。これは明らかにばかげています。これは、ランダムトークンを使用しても、安全にはなりません。https://example.com/invoice/2362365この場合、あらゆる請求書のコピーを取得できてしまいます。この場合、本質的に、データのコンテキストによるアクセス制御を適用する必要があります。"キー"、またはこれに類似する自動検証機能を提供するものが含まれていてはいけないのです。サービスに適用してください。自動ツールを使用すれば、インターフェイスに対する高速なファジングを何時間も連続して行うことが容易にできるからです。したがって、次のようになります。入力値検証なしユーザーの支援が最も有用です。いうのが最も一般的なシナリオであるためです。サービスへのユーザーによるデータ入力が高品質なものになるよう、ユーザーを支援します。入力された住所に対して必ず妥当な郵便番号が入力されるようにしたり、妥当な日付が入力されるようにします。妥当でない入力は拒否します。それでも入力を続行してくる場合や、テキストフィールドなどの検証が難しいフィールドである場合は、入力のサニタイズを行います。インジェクション攻撃に遭うよりはましです。サニタイズまたは入力値検証なしという低い対策レベルで対処せざるを得ない場合は、アプリケーションの出力エンコードをきわめて強力なものにする必要があります。入力値検証エラーをログに記録します。サービスを呼び出すことを想定している場合は、特にその必要があります。サービスはあらゆる人物によって呼び出される可能性があります。秒間に何百回も発生させているユーザーはよからぬことをたくらんでいると想定すべきです。日あたりのリクエスト数を特定の数に制限することを検討します。受信したメッセージの解析にはセキュアなパーサーを使用します。同様の攻撃に対する脆弱性がないパーサーを使用します。false、数値、あるいは少数の入力可能値のうちのいずれかに限定されている場合、ほとんどの攻撃は実行困難になります。早急に、受信データに対する厳密な型チェックを行ってください。ヘッダーとコンテンツ自身が一致することを確認する必要があります。レスポンスによってコンテンツを拒否しなければなりません。ヘッダーによってレスポンスタイプの優先順位を指定します。ヘッダーに単純にコピーすることです。タイプを使用する必要があるのかを文書化しておくことが重要です。ベースの一般的な攻撃から保護する必要があります。署名ラッピングなどに対する防御を意味します。Support」を参照してください)。データ構造のマーシャリング解除前の検証は実行されませんが、マーシャリング解除後、データがアプリケーションに提供される前に検証が実行されます。ヘッダーを送信する必要があります。ヘッダーに文字セットを含めるべきです。つながる可能性があります)。送信して、古いブラウザーでのドラッグアンドドロップクリックジャッキング攻撃を防止する必要があります。使用している場合はサーバー上での実行を防止することです。シリアライザーを使用して、ユーザーが指定したデータを適切にエンコードし、ユーザー指定入力のブラウザーでの実行を防止することがきわめて重要です。真剣に検討してください。文字列の連結によって構築してはいけません。シリアライザーを使用して作成する必要があります。インジェクションが回避されます。サービスのセキュリティに関するチートシート」を参照してください。使用を強制すべきです。認証情報、更新や削除などの操作に関するトランザクションが実行される場合は、その必要があります。ユーザーの安全性が高まります。サービスに対しては、相互認証されたクライアント側証明書を使用して、さらなる保護を適用することを検討してください。アプリケーションごとに主要な手法を適用することを推奨します。Storage」を参照してください。OWASPDisclaimers。