• セキュリティ ベストプラクティス — 最小権限・多層防御・デフォルトで安全・フェイルセーフ・ゼロトラスト、MFA とパスキー、Argon2id でのパスワード保存と漏洩済みパスワードとの照合、ログイン試行のレート制限、認可はサーバー側で所有者まで確認し IDOR を防ぐ、デフォルト拒否、許可リストでの入力検証と出力先に応じたエスケープ、SQLインジェクション・XSS・SSRF・CSRF などの対策、シークレットはハードコードせず管理サービスとスキャン、漏洩したら即ローテーション、TLS 1.3 と HSTS、推奨アルゴリズムと CSPRNG、セッション ID の再生成と Cookie 属性、JWT の注意、セキュリティヘッダーと CORS、API のレート制限と Mass Assignment、プロンプトインジェクションと LLM 出力の扱い、ロックファイルと脆弱性スキャン・SHA 固定・SBOM、IAM の最小権限とパブリックアクセスブロック、ログのマスキングと監視、DevSecOps、インシデント対応と 3-2-1 バックアップ・リストア訓練、個人・組織の基本対策
• 脆弱性一覧とセキュリティ対策ベストプラクティス — OWASP Top 10:2025 の10カテゴリ（アクセス制御の不備・設定ミス・サプライチェーン・暗号化・インジェクション・安全でない設計・認証・完全性・ログとアラート・例外処理）ごとの典型例と対策、SQLインジェクション・XSS・CSRF・SSRF・IDOR・JWT・マスアサインメント・プロンプトインジェクションなど個別脆弱性の一覧、最小権限・多層防御・デフォルト拒否などの基本原則、推奨 HTTP セキュリティヘッダーと __Host- Cookie、要件定義からデプロイ・運用までのチェックリスト
• OAuth / OIDC / SAML の使い分け — ログインは OIDC、API の保護と委譲は OAuth 2.0、M2M は Client Credentials、SAML は相手が求めるときに使う。役割と比較表、判断フロー、B2B SaaS は両対応を IdP ブローカーで吸収し SCIM を組み合わせる、ID トークンを API に使わない、Implicit と ROPC は使わない、SAML の署名検証とリプレイ・XXE 対策、組み合わせ方
• OAuth — フローは Authorization Code + PKCE（S256）で Implicit と ROPC は使わない、リダイレクト URI は完全一致、state と iss を検証、アクセストークンは短命・最小スコープ・オーディエンス制限、リフレッシュトークンはローテーションか送信者制約、SPA は BFF、ログインには OpenID Connect
• OpenID Connect — Authorization Code + PKCE、state と nonce は暗号論的乱数、ID トークンは署名・iss・aud・exp・nonce をすべて検証、ユーザーは iss + sub で識別、SPA は BFF、ログアウトは OP 側のセッションも考える
• JWT ベストプラクティス — 単一アプリのセッションには使わずサーバー側セッションを検討、EdDSA / ES256 / PS256 / RS256 を使い alg: none を拒否して許可アルゴリズムを固定、署名・exp・nbf・iss・aud・トークン種別をすべて検証、ペイロードに機密情報を入れない、アクセストークンは 5〜15 分でリフレッシュトークンはローテーションと再利用検知、kid と JWKS で鍵ローテーション、ブラウザでは HttpOnly Cookie か BFF、URL にトークンを載せない、アルゴリズム混同・kid インジェクション・jku の悪用への対策
• 権限管理 — 最小権限、認可モデル、入社・異動・退職、特権と非人間アカウント、アプリの認可、棚卸し
• セッション管理 — セッション ID の作り方、Cookie の属性と __Host-、ログイン時の作り直し、タイムアウト、ログアウトと失効、JWT の注意