そのクーポン機能は不正利用を防げる実装ですか？ - Webサービスにおけるクーポン機能の仕様とセキュリティ観点 - Flatt Security Blog
こんにちは。株式会社Flatt Securityセキュリティエンジニアの村上です。セキュリティ・キャンプ卒業後、新卒入社組としてFlatt Securityでセキュリティエンジニアをしています。 本稿では、BtoCのWebサービスにおいてマーケティング施策として頻繁に発行される「クーポンコード」及び「クーポン機能」のセキュリティ観点について考えたいと思います。様々なサービスが題材として考えられますが、今回はECサイトなどを例に解説していきます。 クーポン機能は割引やポイントの付与など直接的に金銭的な影響に繋がりますが、Googleなどで検索してみると分かる通りどのような対策をすれば良いのかという情報はほとんど知られていません。そこで今回は、クーポン機能を設計・実装する上でSQL Injectionなどの典型的な脆弱性以外でどのような点に気をつければ良いのかについて解説を行います。 Flat
ブラウザバック時の表示を最適化する Yahoo!ニュースの取り組み事例
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは。Yahoo!ニュース を担当しているエンジニアの喜楽です。 今回は、Yahoo!ニュースが取り組んでいるブラウザバック時の表示最適化手法について紹介します。 なぜブラウザバック時の挙動に注目するのか ユーザーがYahoo!ニュースのページを閲覧し、別のページに遷移する方法は大きく分けて以下の2つが考えられます。 （A） リンクをたどってページを遷移する （B） ブラウザーのナビゲーションボタンまたはスワイプ操作によって遷移する 「戻る」による遷移（ブラウザバック） 「進む」による遷移（ブラウザフォワード） Yahoo!ニュースでは総PVのうち一定程度が(B)のブラウザバックまたはブラウザフォワードによるページ遷移時のも
こんにちはMUI！ 新しくなったMaterial UI v5
どうもよしです。久しぶりの投稿になります。 元々、Material Design をベースとした UI コンポーネントライブラリである、Material UI の v5 が遂にリリースされました！ v4 からどう変わったのか自分でも試すなど、さらっと見てみたので、ここにまとめてみました。 ※2023/11/25 MUI の更新に伴い、MUI v5.0系のドキュメント参照したほうが良い部分はリンクを差し替えました。 Material UI とは？ 元々、Google の Material Design をベースに開発された、UI コンポーネントライブラリです。 Material UI の概要や v4 の機能に関しては、以前に記事を書いていますので、よろしければそちらをご参照ください。 ※今回の記事は、主に以下の公式ブログ記事をもとにしています。引用文の出典もそちらです。 そのため、すでにそち
docker-compose.ymlの中で値を使い回す方法｜TechRacho by BPS株式会社
小ネタで恐縮です。docker-composeは便利なのですが、docker-compose.ymlの中でローカル変数的に値を手軽に使い回す方法を知りたくなりました。 version: "3.4" services: app: &app build: context: . dockerfile: ./.dockerdev/Dockerfile args: RUBY_VERSION: "2.7.0-slim-buster" PG_MAJOR: "12" NODE_MAJOR: "11" YARN_VERSION: "1.19.1" BUNDLER_VERSION: "2.0.2" image: enno_docker:1.0.0 tmpfs: - /tmp # （略） postgres: image: postgres:12 volumes: - .psqlrc:/root/.psqlrc:
MySQLでカラム追加などのalter table中にクエリがブロックされるかなどについてのメモ - だいたいよくわからないブログ
これは何 MySQLのカラム追加などのDDL, alter table時にそれぞれの操作がどれくらい危険なのか、負荷は？といった情報の見方を毎回忘れるのでメモしたもの まとめ 表を見なくても ALTER TABLE の末尾に ALGORITHM=INPLACE,LOCK=NONE; をつけてしまえば、動作を決められる（不可能な場合はエラーになる）ので、それで実験してみるとよい 公式document に詳細に記載があるのでそれを見ると良い。 ただし必ずしもその表通りになるわけではないため表の下に記載されている注意書きをよく読む必要がある。 例えば varcharのサイズ変更 = Extending VARCHAR column size は表内では INPLACE=yes と記載されているが length を 255 から 256 に拡張する場合は ALGORITHM=COPY しか利用でき
MySQL :: MySQL 8.0 リファレンスマニュアル :: 15.12.1 オンライン DDL 操作
セカンダリインデックスの作成または追加 CREATE INDEX name ON table (col_list); ALTER TABLE tbl_name ADD INDEX name (col_list); このテーブルは、インデックスの作成中も読取りおよび書込み操作に使用できます。 CREATE INDEX ステートメントは、テーブルにアクセスしているすべてのトランザクションが完了した後にのみ終了するため、インデックスの初期状態にはテーブルの最新の内容が反映されます。 セカンダリインデックスを追加するためのオンライン DDL サポートとは、通常、セカンダリインデックスのないテーブルを作成してからデータのロード後にセカンダリインデックスを追加することで、テーブルおよび関連するインデックスの作成およびロードのプロセス全体を高速化できることを意味します。 新しく作成されたセカンダリインデ
Row Level Security で事故らないアプリケーションを構築する - FLINTERS Engineer's Blog
こんにちは、清水（@_smzst）です。直近の業務でマルチテナントな DB でアプリケーションでのスイッチロール機能を実現するために Amazon Cognito や表題にある Row Level Security について技術検証や設計検討を行っていました。 今回はこの Row Level Security について PostgreSQL での例を挙げて挙動を確認しながら、実際に導入するにあたって必要な知識や注意点までを網羅します。本記事が安全で堅牢なアプリケーション構築の一助となれば幸いです。 1. マルチテナントとは 2. Row Level Security とは 3. 実際に試してみる 3-1. 実現するための SQL 3-2. RLS 有効化前 3-3. RLS 有効化後 4. 補足 4-1. クエリのパフォーマンスについて 4-2. ユーザーとロールの管理について 4-3.
Prisma: Node.js & TypeScript向けの完璧なORM
本記事は、@nikolasburk氏による「The Complete ORM for Node.js & TypeScript」（2021年4月21日公開）の日本語翻訳を、著者の許可を得て掲載しているものです。今後Prismaの公式ブログの日本語翻訳の許可をいただいたので、このアカウントで継続して翻訳していきます。※画像やリンクは公式のBlogからお借りしています。 Prismaは、Node.jsとTypeScriptのための次世代ORMです。2年以上の開発期間を経て、すべてのPrismaツールが製品化の準備が整ったことをお伝えできることに興奮しています! コンテンツ オブジェクト-リレーショナルマッピングの新しいパラダイム あらゆるスタックに対応するPrisma ミッションクリティカルなアプリケーションでの運用に対応 オープンソースを超えて お手伝いできることは？ Prismaを始めよう
Typing Component Props | React TypeScript Cheatsheets
This is intended as a basic orientation and reference for React developers familiarizing with TypeScript. Basic Prop Types ExamplesA list of TypeScript types you will likely use in a React+TypeScript app: type AppProps = { message: string; count: number; disabled: boolean; /** array of a type! */ names: string[]; /** string literals to specify exact string values, with a union type to join them t
【javaScript】for…in、for…of、forEachの違いと用途
・列挙可能であればなんでもループできる ・順不同であることに注意 ・オブジェクトのループ専用として利用した方が良い ・普通の配列のループには不向き ⬇オブジェクトをfor…inループする例 const obj = {key1: 'value1', key2: 'value2', key3: 'value3'}; for(let key in obj) { console.log(key + ' ' + obj[key]); } key1 value1 key2 value2 key3 value3 for…inで変数に入るのはオブジェクトのキーのみです。値はobj[key]のように取得できますが、少々使いにくいかもしれません。 順不同という仕様ですが、この例では配列の順序通り出力されました。たまたまなのか、順不同になる条件があるのか…？ ⬇普通の配列をfor…inループする例
React.ComponentProps 型を積極的に使おう
Atomic Design でいう Atoms に相当する、汎用コンポーネントについての小話です。次の様に Props 型定義を用意し、解説している記事をよく見かけます。<input />タグを使わずコンポーネント化している理由は style を施すためかと思いますが、このコンポーネントが受け取れる Props は限定的で、メンテナンスコストが高いためお勧めできません。 type Props = { value: string; onChange?: React.ChangeEventHandler<HTMLInputElement> onBlur?: React.FocusEventHandler<HTMLInputElement> } export const Input = ({ value, onChange, onBlur }: Props) => ( <input value=
大学入試でプログラミング出題 2025年共通テストで導入へ | 子ども向けオンラインプログラミングスクールのみらいごとラボ
大学入試センターは3月24日に2025年1月に実施する大学入学共通テストの教科・科目の再編案を公表しました。 大学入学共通テストの教科・科目の再編案の内容としては、プログラミングやデータサイエンスに必要な統計処理、情報リテラシーの知識などを試す「情報」が導入されます。 これにより「情報」は「国語」や「数学」などと並ぶ基礎教科になります。 現行の6教科30科目を7教科21科目に（2025年から導入）新設教科として「情報」を追加地歴公民を再編し、「歴史総合」「地理総合」「公共」などの内容から出題数学を再編し、「数学Ⅱ・B・C」が登場理科4つの基礎科目を「物理基礎」「化学基礎」「生物基礎」「地学基礎」に一本化受験にパソコンを使う方式（CBT）の切り替えは見送り
Shellリダイレクト・パイプ全集 - やってみる
全集は無理かもだがパターン網羅したい。 成果物 github 01_redirect_pipe_pattern.sh 目次 はじめに リダイレクト ヒアドキュメント パイプ 名前付きパイプ はじめに シェルとはOSのAPIをユーザが操作するためのコマンドライン・インタプリタ リダイレクトとはシェル構文のひとつで標準ストリームの入出力先を指定すること シェルにおいて標準ストリームはファイルディスクリプタ(fd)で示される fd path named path 和名 0 /dev/fd/0 /dev/stdin 標準入力 1 /dev/fd/1 /dev/stdout 標準出力 2 /dev/fd/2 /dev/stderr 標準エラー出力 リダイレクト 意味 コード StdOutのみ echo StdOut StdOutのみ echo StdOut 1>&1 StdOutのみ echo St
ロケール(国際化と地域化) | Let's POSTGRES
NTT オープンソースソフトウェアセンタ 板垣 貴裕 PostgreSQL でロケール (国際化と地域化) の設定を行うと、データベース内での文字列処理、日付や通貨の表示、メッセージの言語などを変更することができます。特に PostgreSQL 8.4 では、日本語のメッセージ・カタログが追加されたため、エラーメッセージを日本語化したい場合にはロケールを設定する必要があります。 ただし、C ロケール以外を設定すると、インデックスが使われないなどの性能への影響がある場合もあります。また、特に古いバージョンの PostgreSQL では、誤った設定によりサーバが正しく動作しなくなるケースもありました。 この記事では、ロケール設定の効果を結果例を交えて解説すると共に、トラブルへの対応方法を示します。PostgreSQL で日本語を扱う際に、ロケール設定を決める時の参考にして下さい。 Postgr
インタフェースの実装パターン #golang - Qiita
はじめに この記事は，以下の過去にQiitaに投稿したインタフェースの実装パターンの記事に，typeやメソッド，インタフェースの基本的な説明を追加してわかりやすくしたものです． Go言語における埋め込みによるインタフェースの部分実装パターン structにinterfaceを埋め込んで，動的に入れ替えるパターン まずtypeとメソッド，基本的なインタフェースの実装方法についておさらいすることで，さまざまなインタフェースの実装パターンを扱う準備をしましょう． typeで型を宣言する まずはじめに，Go言語における型の宣言方法をおさらいします．Go言語をはじめたばかりの方の中に，typeの使い方を限定的にしか理解していない方をよく見かけます．ご存知のとおり，typeは型を宣言するために使うキーワードです．以下のように，構造体型やインタフェース型の宣言の際に，使用することが多いでしょう． //
業務から見たテンポラルデータモデルの解釈と利用方法の紹介
FOLIO Advent Calendar 2020の25日目の記事です。 これはなに 金融機関は業として金融商品や為替の取引を行ないますので、それに付随してお客様のお金や証券といった保有資産を管理が必要となります。 お客様の資産ですので1円でもズレることがないよう、厳密な管理が求められます。 特に顧客資産を含むようなデータの履歴管理は、(意識的, 無意識を問わず)不正な操作が行なわれていないことを担保するために重要です。 一方でデータの履歴管理を実現するデータモデルとして、テンポラルデータモデルが存在します。 テンポラルデータモデルは履歴管理が可能ではあるのですが、寡聞にしてどのような業務にどのテンポラルデータモデルを適用するべきかについて述べられた日本語記事はないように思われます。 実際に私が関わったシステムでテンポラルデータモデルを採用したのですが、どの業務でどのテンポラルデータモデ
Dockerfileのベストプラクティス Top 20
本文の内容は、2021年3月9日にÁlvaro Iradierが投稿したブログ(https://sysdig.com/blog/dockerfile-best-practices/)を元に日本語に翻訳・再構成した内容となっております。 Dockerfileのベストプラクティスのクイックセットをイメージビルドに適用することで、セキュリティ問題を防ぎ、コンテナ化されたアプリケーションを最適化する方法を学びます。 コンテナ化されたアプリケーションやマイクロサービスに精通している人なら、自分のサービスがマイクロサービスであることに気づいているかもしれません。しかし、脆弱性の検出、セキュリティ問題の調査、デプロイ後の報告や修正など、管理のオーバーヘッドがマクロな問題になっています。 このオーバーヘッドの多くは、セキュリティをシフトレフトし、開発ワークフローの中で可能な限り早く潜在的な問題に取り組むこ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SSSSLIDE
これは覚えておきたい！ コンテナ・ラッパーを定義するCSSの古い書き方とモダンCSSを使用した書き方
TypeScriptでSOLID原則〜インターフェイス分離の原則〜 | メンバーズエッジカンパニーブログ