依存関係

1. 01Real World HTTP 第3版→体系的に学ぶ 安全なWebアプリケーションの作り方 第2版推奨前提 / HTTPの原理から脆弱性対策へ

   理由: 認証もセッションもCookieもHTTPの上に成り立つ。まずHTTPの挙動を原理から押さえると、徳丸本で学ぶ脆弱性が「プロトコルのどの隙間で生まれるのか」を構造的に理解できる。

   出典

   • HTTP - MDN Web Docs
   • OWASP Top 10 - OWASP Foundation
2. 02体系的に学ぶ 安全なWebアプリケーションの作り方 第2版→実践理解！Webアプリケーション セキュリティ推奨前提 / 国内定番から現代的全体像へ

   理由: 徳丸本で脆弱性の原理と根本対策を固めたら、ブラウザからサーバーまで各層を横断する現代的な全体像で補強する。サプライチェーンや侵害後対応まで視野を広げ、防御の解像度を上げる。

   出典

   • OWASP Top 10 - OWASP Foundation
3. 03体系的に学ぶ 安全なWebアプリケーションの作り方 第2版→暗号技術入門 第3版推奨前提 / 脆弱性の基礎から暗号の土台へ

   理由: 脆弱性対策の全体像を掴んだら、その多くが依拠する暗号の土台へ降りる。ハッシュ・署名・公開鍵暗号の論理を理解しておくと、TLSやトークン検証を「魔法」ではなく原理で扱えるようになる。

   出典

   • A02:2021 Cryptographic Failures - OWASP Top 10
4. 04暗号技術入門 第3版→OAuth徹底入門推奨前提 / 暗号の土台から認可プロトコルへ

   理由: 署名と公開鍵暗号の土台があって初めて、トークンベースの認可を正しく理解できる。OAuth 2.0は権限委譲のデファクトであり、その各グラントとフローを原理から学ぶ。

   出典

   • RFC 6749: The OAuth 2.0 Authorization Framework - IETF
5. 05OAuth徹底入門→OpenID Connect入門推奨前提 / 認可のOAuthから認証のOIDCへ

   理由: OAuth 2.0は本来「認可」のプロトコルで、それを誤用した擬似認証は脆弱性の温床になる。本人確認を標準化したOIDCへ進むことで、IDトークン検証を含む正しい認証の組み立てが分かる。

   出典

   • How OpenID Connect Works - OpenID Foundation
6. 06暗号技術入門 第3版→パスキーのすべて推奨前提 / 公開鍵暗号からパスキーへ

   理由: パスキーは公開鍵暗号方式を認証に応用した仕組み。暗号の基礎を押さえてから読むと、なぜサーバーにパスワードを保存せずフィッシング耐性が生まれるのか、チャレンジ署名の検証まで腑に落ちる。

   出典

   • Web Authentication: An API for accessing Public Key Credentials - W3C
   • Passkeys (Passwordless Authentication) - FIDO Alliance
7. 07OpenID Connect入門→セキュア・バイ・デザイン推奨前提 / 認証・認可の実装から設計での排除へ

   理由: 認証・認可を仕組みとして実装できるようになったら、視点を一段上げる。セキュア・バイ・デザインは、入力検証やエスケープという対症療法を越え、設計段階で不正なデータが入り込めない構造を作る発想を与える。

   出典

   • OWASP Proactive Controls - OWASP Foundation
8. 08セキュア・バイ・デザイン→セキュアなソフトウェアの設計と開発推奨前提 / 設計思想から脅威モデリングのプロセスへ

   理由: 型ベースの堅牢な設計思想を掴んだら、それを開発プロセスに組み込む段へ進む。STRIDEによる脅威モデリングは、アタックサーフェスと信頼境界を体系的に洗い出し、設計レビューの軸を与える。

   出典

   • Threat Modeling - OWASP Foundation
9. 09実践理解！Webアプリケーション セキュリティ→ハッキングAPI推奨前提 / 防御の基礎から攻撃者視点（API）へ

   理由: 防御の原則を固めたら、攻撃者の視点を取り入れる。SPAやマイクロサービスで主戦場となったAPIの脆弱性（BOLA/IDOR等）を攻める側から学ぶと、堅牢なAPI設計を逆算できる。

   出典

   • OWASP API Security Project - OWASP Foundation
10. 10体系的に学ぶ 安全なWebアプリケーションの作り方 第2版→Webセキュリティ担当者のための脆弱性診断スタートガイド 第2版推奨前提 / 学んだ脆弱性を診断で検証へ

    理由: 脆弱性の原理を学んだら、自分の手で確かめる。OWASP ZAPやBurp Suiteを使った動的解析で、理論として知っていた攻撃が実際のトラフィック上でどう成立するかを体感し、理論と実践の溝を埋める。

    出典

    • OWASP Web Security Testing Guide - OWASP Foundation
11. 11セキュアなソフトウェアの設計と開発→Webセキュリティ担当者のための脆弱性診断スタートガイド 第2版参考 / 脅威モデリングの想定を実機診断で実証へ

    理由: 脅威モデリングで「どこが危ういか」を設計段階で洗い出したら、その想定が正しいかを実機の診断で確かめる。設計上の脅威と実際の挙動を突き合わせ、防御の実効性を確認する。

    出典

    • OWASP Web Security Testing Guide - OWASP Foundation
12. 12実践理解！Webアプリケーション セキュリティ→ホワイトハッカー入門 第2版参考 / 防御の基礎から攻撃手法全般の視座へ

    理由: Webの防御原則を押さえたら、視野をネットワークやサーバーを含む攻撃全般へ広げる。攻撃者の思考手順を知ることは、Webアプリ単体に閉じない能動的な防御の気付きをもたらす。

    出典

    • OWASP Top 10 - OWASP Foundation
13. 13暗号技術入門 第3版→はじめてのデジタルアイデンティティ推奨前提 / 暗号の基礎からID管理の全体像へ

    理由: ハッシュや署名といった暗号の要素を土台に持ったら、それらが実際のIDライフサイクルの中でどう使われるかを知る。本書は新規登録からログイン、リカバリー、退会までを一続きの流れとして描き、単一サービスの認証・認可からIDプロバイダとの連携まで段階的に扱う。

    出典

    • はじめてのデジタルアイデンティティ - 技術評論社
14. 14はじめてのデジタルアイデンティティ→OAuth徹底入門推奨前提 / ID管理の全体像から認可プロトコルの実装へ

    理由: ID管理の全体像とID連携の枠組みを掴んだら、その中核をなす認可プロトコルの実装に踏み込む。OAuth 2.0のグラントやフローをコードで動かしながら学ぶことで、トークン漏洩やリダイレクトURI改ざんといった落とし穴まで原理から理解できる。

    出典

    • はじめてのデジタルアイデンティティ - 技術評論社
15. 15OpenID Connect入門→セキュアAPI推奨前提 / 認証・認可の実装からAPI全体のセキュリティ設計へ

    理由: OIDCの認可コードフローやJWT検証を実装レベルで理解したら、視野をAPI全体の設計へ広げる。本書は認証・認可に起因する脆弱性だけでなく、API設定管理のリスク、金融グレードAPIの要件、オブザーバビリティやテストまで、設計段階からセキュリティを組み込む視点を与える。

    出典

    • セキュアAPI - 翔泳社
16. 16セキュアAPI→ハッキングAPI参考 / 設計によるAPI防御から攻撃者視点の診断へ

    理由: シフトレフトの発想でAPIを設計段階から守る手法を学んだら、その設計が実際に攻撃に耐えるかを攻撃者側の視点から確かめる。BOLA/IDORといった認可の欠如に起因する脆弱性を攻める側から学ぶと、堅牢な設計を逆算的に見直せる。

    出典

    • セキュアAPI - 翔泳社
17. 17Webセキュリティ担当者のための脆弱性診断スタートガイド 第2版→生成AIの安全性入門参考 / Webの脆弱性診断から生成AIの安全性評価へ

    理由: OWASP ZAPやBurp Suiteで自らの手を動かし、理論と実践の溝を埋める診断経験を積んだら、同じ「対策を実地で確かめる」姿勢を新しい対象へ向ける。生成AIのリスクはベンチマークやレッドチーミングという異なる形で評価されるが、机上の想定を検証で裏づけるという発想は共通する。

    出典

    • 生成AIの安全性入門 - 技術評論社
18. 18生成AIの安全性入門→LLMOps推奨前提 / AI安全性の理論から本番運用のガバナンスへ

    理由: 生成AIのリスク分類やレッドチーミングによる安全性評価、ガードレールによるシステムレベルの対策までを学んだら、それらを実際に本番環境で回し続ける仕組みへ落とし込む段階に進む。LLMOpsは終章でガバナンス・プライバシー・プロンプトインジェクションといったセキュリティリスクへの対応や可観測性パイプラインの構築を扱っており、生成AIの安全性入門で得た評価・対策の知識を本番運用の具体的な仕組みへ接続する。

    出典

    • LLMOps - オライリー・ジャパン
19. 19生成AIの安全性入門→生成AIアプリケーション評価入門参考 / AI安全性評価の考え方から自社プロダクトの評価実務へ

    理由: ベンチマークやレッドチーミングによる安全性評価の技法を学んだら、その「評価する」という営みを自社の生成AIプロダクトへ具体的にどう組み込むかという実務へ視野を広げる。生成AIアプリケーション評価入門は評価観点モデルの構築から混同行列・RAG向けメトリクス、セキュリティ評価、AIエージェントの評価までを開発ライフサイクルに沿って扱っており、抽象的な安全性評価の考え方を自プロダクトの品質保証プロセスへ接続する。

    出典

    • 生成AIアプリケーション評価入門 - 技術評論社