タグ: security

ブラウザが唯一のクライアントであるアプリには Cookie 認証を使い、JWT ベアラートークンはモバイルアプリ、他サービス、サードパーティから呼び出される API のために取っておきましょう。完全な意思決定マトリクスを示します。

Claude Code v2.1.187 の新しい sandbox.credentials 設定は、サンドボックス内の Bash コマンドが実行される前に、認証情報ファイルの読み取りを拒否し、秘密の環境変数を解除します。デフォルトの読み取りポリシーが穴だった理由と、それを塞ぐ方法を解説します。

有効なトークンなのに 401 になる場合、ほぼ確実に bearer ハンドラーが実行されなかったか、間違ったスキームの下で実行されています。ミドルウェアの順序、既定のスキーム、スキーム名、そしてヘッダーがそもそもハンドラーに届いたかを確認しましょう。

保護されたエンドポイントが 401 ではなく 405 を返すのは、ほぼ常に認証が実行される前にルーティングが HTTP 動詞を拒否したか、cookie スキームがチャレンジを横取りしたかのどちらかです。ここでは、どちらなのかを見分ける方法を解説します。

ASP.NET Core 11 における TokenValidationParameters の完全ガイド: ValidateIssuer、ValidateAudience、ValidateLifetime の動作、実際のデフォルト値、なぜ Authority が発行者と署名キーを自動構成するのか、5 分間の ClockSkew の罠、そして一見有効なトークンが拒否されたときに IDX エラーコードを読む方法を解説します。

ASP.NET Core 11 における bearer トークン API の CORS 完全ガイド。認証に対する UseCors の正しい順序、Authorization ヘッダーの bearer トークンが CORS の資格情報ではない理由、AllowAnyHeader は機能するのに手書きのワイルドカードが Authorization を含めない理由、そして preflight を失敗させない方法を解説します。

.NET 11 Preview 5 は System.Security.Cryptography に第一級の X25519DiffieHellman 型を追加し、BouncyCastle や NSec なしで Curve25519 の鍵交換ができます。

Anthropic は Claude Code 向けの無料プラグイン security-guidance をリリースしました。エージェント自身の編集を 3 つの層で脆弱性スキャンし、コストなしのパターンマッチから commit 時のエージェント的レビューまでをカバーします。

NuGet パッケージプルーニングが net10.0 プロジェクトでデフォルト有効になり、transitive な脆弱性レポートを 70%、restore 時間を最大 50% 削減します。

Microsoft の新しい Microsoft.AgentGovernance パッケージは、MCP ツール呼び出しをポリシーカーネル、セキュリティスキャナー、レスポンスサニタイザーで包みます。各部品が何をするのか、C# での配線がどうなるのかを見ていきます。