自著を語る「体系的に学ぶ安全なWebアプリケーションの作り方　脆弱性が生まれる原理と対策の実践」徳丸浩（ブックレビュー）｜ScanNetSecurity（情報元のブックマーク数）

徳丸さんが、Scan net securityに寄稿したWASBookな話。

本書は、Webアプリケーションの開発者のためのセキュリティ解説書である。
Webアプリケーションのセキュリティ問題（脆弱性）は、開発の工程で混入するバグの一種である。開発者がセキュリティに無知なままに開発したアプリケーションには脆弱性が混入する可能性が高い。したがって、アプリケーション開発者にとって実用的な解説書となることを目指して本書を執筆した。
具体的には、以下をゴールとした。
・開発者が、脆弱性の及ぼす影響を切実で身近なものとして把握する
・開発者が、脆弱性が発生する原理を理解する
・開発者が、脆弱性の対処を実践できるようにする
これらゴールを達成するために、以下の工夫を施した。
・脆弱性のサンプルとして、被害の大きさを理解でき、かつ十分シンプルなものを記載した
・攻撃方法の紹介として、情報漏洩やデータ改ざんの手口を具体的に示した
・脆弱性サンプルを手軽に動かせるように仮想マシンイメージを提供し、実行に必要なソフトウェアも含めてCD-ROMとして添付した
・読者が脆弱性発生の原理を理解できるよう、HTTPやセッション管理、同一生成元ポリシーなどの前提知識を含めて解説した
・脆弱性の対処方法については、原理だけでなく、PHP等で実現可能な方法をサンプルと共に示した
・脆弱性の説明を逆引き辞典風に構成した（「メール送信の問題」などアプリケーションの機能毎に参照できるようにした）
自著を語る「体系的に学ぶ安全なWebアプリケーションの作り方脆弱性が生まれる原理と対策の実践」徳丸浩（ブックレビュー） | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]

ここ、徳丸さんの人徳ですよ。

本書は、筆者の独りよがりとならないようインターネット上でレビュアーを公募し、16名のレビュアーとメーリングリストで議論を行いながら執筆した。レビュアーによる提案は、字句の誤り指摘だけではなく、説明不足や論理の飛躍に対する指摘、前提知識の解説の追加提案など、本書の構成に影響するものも含まれる。その結果、説明順序の入れ替え、図表の差し替え、節の追加など、大きな変更が加わった。ここで、レビュアーのやりとりの一例を紹介しよう。
自著を語る「体系的に学ぶ安全なWebアプリケーションの作り方脆弱性が生まれる原理と対策の実践」徳丸浩（ブックレビュー） | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]