APIの認可：ログインだけでは足りない理由

検討すべきこと

文書ポータルなら、誰が閲覧、更新、ダウンロード、削除できるかを定義します。従業員、顧客、企業間の境界を含め、業務担当と開発者が共有できる権限表を用意します。

確認の進め方

OWASPはオブジェクト単位の権限確認不足をAPIリスクに挙げています。ボタンを隠したり推測しにくいIDを使ったりしても、サーバー側の認可の代わりにはなりません。添付や出力も確認します。

次の対応

承認済みアカウントと架空の記録を使い、許可される操作と拒否すべき操作を検証します。期待結果を残し、権限変更後の回帰検査に含めましょう。

実行チェックリスト

• 役割と操作を対応付ける
• 添付とエクスポートも確認
• 企業間の分離を検証
• 権限変更後に再確認

よくある質問

ランダムなIDなら認可は不要ですか？

いいえ。推測を難しくしても、利用者がその対象にアクセスできるかをサーバーで判定する必要があります。