実務知見

JWT実装を見返したら冷や汗が出た話——OAuth運用4年で踏んだ地雷まとめ

「あのとき被害が出なかったのは運だった」——alg:none攻撃の見落とし、Implicit Flowの負債、リフレッシュ設計の失敗。4年の本番運用で実際に踏んだ地雷と、2026年時点での回避策を書きました。