エントリーの編集は全ユーザーに共通の機能です。
必ずガイドラインを一読の上ご利用ください。
ここにツイート内容が記載されます https://b.hatena.ne.jp/URLはspanで囲んでください
Twitterで共有ONにすると、次回以降このダイアログを飛ばしてTwitterに遷移します
WEBアプリケーションのセキュリティチェック項目の中に、 ログイン画面でアカウントの存在有無を検知さ... WEBアプリケーションのセキュリティチェック項目の中に、 ログイン画面でアカウントの存在有無を検知されないこと という項目がありますよね。 例えば、 認証に失敗したとき、アカウントの存在有無によってエラーメッセージを変えるな ハッシュ化されたパスワードの検証で、アカウントの存在有無によって応答時間を変えるな とか、そういう指摘を受けることがあります。 でも、最近の大手サービスでも、アカウント名とパスワードが同じ画面にあるのではなく、まずはアカウント名を入力して次の画面でパスワードを入力させるというパターンが増えています。 これって最初に書いた「ログイン画面でアカウントの存在有無を検知されないこと」に反していると思いますが、なぜAmazon, Google等のサービスではこのような設計が許容されているのでしょうか?
