基本情報技術者Webと認証の安全性オリジナル・公式資料照合難易度★★★☆☆
WebアプリのセッションCookieにはHttpOnlyが設定されている。しかし同じオリジンのページでXSSが起き、不正なJavaScriptが実行された。HttpOnlyの効果と限界について正しいのはどれか。
A
SameSite属性と同じく、クロスサイト要求へCookieを送るかどうかの条件を指定する
SameSiteはサイト間の要求とCookie送信に関する属性です。HttpOnlyのスクリプトからの読取り制限とは保護対象が異なります。
B
Secure属性と同じく、HTTPSの要求だけでCookieを送る条件を指定する
HTTPS等の保護された通信での送信条件を指定するのはSecure属性です。HttpOnlyはスクリプトからのCookie参照を制限します。
C
Cookie値そのものを暗号化し、漏えいした値をサーバー以外が読み取れないようにする
HttpOnlyはCookie値を暗号化する機能ではありません。値の暗号化や通信の暗号化とは別の属性です。
D
JavaScriptからのCookie値の読取りを制限するが、本人のブラウザから認証付き要求を送る悪用までは単独で防げない★ 正解
値の読取り制限と、ブラウザが認証情報を付けて操作することを区別しています。XSSによる操作の危険は残ります。
解説
HttpOnlyはCookieをスクリプトから読み取られにくくする属性です。ブラウザによる正当な送信は残るため、XSSで実行されたコードが認証付き操作を行う危険は残ります。XSSそのものの対策も必要です。
根拠資料・確認情報
対応範囲：2026年度 基本情報技術者試験 科目A・B
資料確認日：2026-10-28
同じレッスンの問題
問題 1
利用者名から会員を検索するSQLを、文字列連結で作っている。利用者名に引用符やSQL断片が含まれると、検索条件の構造が変わってしまう。値として受け取る利用者名に対する基本的な修正はどれか。
問題 2
コメント欄では利用者の入力を装飾せず、文字としてそのまま表示したい。ブラウザ側で入力をinnerHTMLへ入れると、HTMLタグが解釈されてスクリプトが動くおそれがある。この表示位置に適切な対策はどれか。
問題 3
Cookieによるログイン状態を使うWebアプリで、利用者が別サイトへ誘導され、そのサイトから送られた送金POSTが本人のCookie付きで実行された。POSTであることだけでは防げなかった。この不正な要求への基本対策として適切なのはどれか。
問題 4
パスワード保存方式を見直し、同じパスワードの利用者がいても、ハッシュの事前計算結果を利用者間でそのまま使い回しにくくしたい。適切なパスワード用ハッシュと計算コストを使うことに加え、ソルトをどう扱うのが適切か。