基本情報技術者セキュリティの基礎と判断オリジナル・公式資料照合難易度★★★☆☆
学習APIのGET /records/123はログイン済みであれば誰でも記録123を返す。URLの数値を変えると他の利用者の記録も読める。最も直接的な修正はどれか。
A
数値を長いランダム値に変えるだけで認可処理を省く
識別子の推測を難しくしても、他の経路で識別子が漏れた場合のアクセス権は制御できません。
B
HTTPSへ変更すれば所有者確認は不要とする
HTTPSは経路上の保護であり、ログインした他人へのデータ返却を止める認可機能ではありません。
C
画面のリンクを隠すだけにする
利用者は画面を介さずAPIへ直接要求できます。サーバー側の検査が必要です。
D
要求者がその記録の所有者または許可された役割かをサーバーで毎回検証する★ 正解
対象データごとの認可をサーバーで行えば、URLの変更だけによる他人の記録参照を防げます。
解説
認証は誰かの確認、認可は何へアクセスできるかの確認です。オブジェクト単位のアクセス権を全要求で検証します。
根拠資料・確認情報
対応範囲：2026年度 基本情報技術者試験 科目A・B
資料確認日：2026-10-28