安全なウェブアプリケーションの作成？運用？閲覧？

『体系的に学ぶ 安全なWebアプリケーションの作り方 第2版 脆弱性が生まれる原理と対策の実践』 という本を読みました。 私は（WEB上のマニュアルやドキュメントであればともかく）脆弱性を専門に扱った書籍に触れるのは初めて、フロントエンドも専門外なので、知らないことが幾つも掲載されていて勉強になりました。 脆弱性の実物に触れることを重視していると筆者が前文に書かれているように、主にWEBブラウザ操作に関連する脆弱性とそれに関連した攻撃手法が具体的に解説されており、配布されている実習環境を用いて脆弱性を体験できる構成になっています。 その内容もSQLインジェクション、OSコマンドインジェクション、スピアフィッシングと言ったよく知られたものから文字コードの取り扱いやファイルアップロードに関連する脆弱性まで詳しく説明されています。 本書のタイトルこそ『安全なWebアプリケーションの作り方』ですが、作る側よりもむしろ（ブログソフトウェアやアップローダを使用したサイトの管理者を含めた）使う側に向けたメッセージなのではないかと思わせる項目も少なからずあります。 少なくともクリックジャギング（詳しくは本書を読んでください）などの一部の項目に関しては、意図して実装するのは攻撃者だけなのではないかという感想を抱きます。これだけに関して言えば、脆弱性を把握していなければならないのは閲覧者です。 作成者と利用者（プログラムを利用したウェブサイト・サービスの管理者を含む）のどちらに向けて書かれた内容なのだろうという疑問は読中は常につきまといます。