アクセス制御の不備

アクセス制御の不備は OWASP Top 10 で第 1 位のリスクです。アプリが「誰が何をできるか」を一貫して強制できないときに発生し、サーバー側チェックの欠如、隠された URL への依存(隠蔽によるセキュリティ)、クライアント側のロール情報の信頼、所有者検証なしのオブジェクト直接参照などが原因となります。IDOR、管理ページへの強制ブラウズ、パラメータ改ざんによる回避、JWT スコープの改ざんなどが典型です。影響は情報漏えいからアカウント/データの完全奪取まで及びます。対策には、集中化された認可ミドルウェア、デフォルト拒否、各操作のサーバー側強制、ユーザー/テナントでのクエリスコープ化、徹底した結合テスト、継続的 DAST が含まれます。