APIのオブジェクトレベル認可｜ログイン済みでも他人のデータを返さない

オブジェクトレベル認可は、要求された個々のデータや処理を、現在の利用者が操作できるか判断する仕組みです。ログイン済みかを確認する認証とは別です。会員やテナントごとのデータを扱うAPIでは、IDが存在することだけで返すと、他の利用者の情報を扱えてしまう問題が生じます。

IDを長くしたり推測しにくくしたりしても、権限確認の代わりにはなりません。取得だけでなく一覧、更新、削除、添付ファイルのダウンロードにも対象の認可を適用します。画面にボタンを出さないことは利用者への表示であり、サーバーが不正な要求を拒否することとは別です。

利用者の所属や役割だけでなく、対象データとの関係を確認します。認可の前提を個々の画面だけに置かず、共通の経路で検証できるようにします。

許可の条件を業務の役割で定義し、全APIへ適用します。正常な操作と境界を越える要求の拒否を、読み書きの両方で検証してください。

拒否ログへ他人の本文を保存せず、識別情報と理由を必要な範囲で残します。認証成功と操作の許可を記録上も分けます。

一覧画面から選べるデータだけを操作する想定でも、APIは対象との関係を要求ごとに確認します。添付ファイルの取得、履歴の閲覧、一括更新など、主画面以外の経路も漏れなく対象へ含めます。テナントを持つサービスでは所属の境界も重要です。

権限の条件を画面ごとに別々に書くと、変更の際に差が残りやすくなります。共通の判断を使い、例外が必要なら業務上の根拠と試験を残します。認可に失敗した結果で他人の存在や本文を必要以上に返さないことも検討します。

サイバーセキュリティの学習ガイドで、このテーマをメール・ブラウザとWebの中に位置付けてください。関連する前提はCSRF対策とSameSite Cookie、情報の分類と取扱いルールで確認できます。

資格対策との接点は情報・サイバーセキュリティ管理士の概要へ。用語を理解した後は登録不要の無料お試し20問で、別の状況でも判断できるか確かめてください。記事のテーマを全て公式の出題項目とする説明ではありません。