パラメータ改ざん

パラメータ改ざんは、クライアントが送信するがサーバーが信用すべきでないデータ(クエリ文字列、POST ボディ、hidden 入力、Cookie、JWT クレーム、HTTP ヘッダ)を狙います。代表的な悪用は、決済リクエストでの価格フィールド改変、プロフィール API での userId 置換、role パラメータの書き換え、クライアント側バリデーションの回避などです。根本原因は、サーバーがクライアントデータを権威ある値として扱い、再計算や権威状態との照合を行っていない点にあります。対策は、機微な値ごとのサーバー側検証・認可、価格や合計のサーバー側保持または暗号署名、入力スキーマの許可リスト化、WAF による多層防御です。