安全でない直接オブジェクト参照（IDOR）とは？
安全でない直接オブジェクト参照（IDOR）とは、内部の識別子をそのままパラメタで受け取り、その資源が要求者のものかを確認せずに返してしまう欠陥。認証は通っているのに認可の判定が抜けている状態で、他人の申込内容や請求書を番号違いで読み出せてしまう。
あんぜんでないちょくせつおぶじぇくとさんしょう
安全でない直接オブジェクト参照（IDOR）の意味
内部の識別子をそのままパラメタで受け取り、その資源が要求者のものかを確認せずに返してしまう欠陥。認証は通っているのに認可の判定が抜けている状態で、他人の申込内容や請求書を番号違いで読み出せてしまう。
安全でない直接オブジェクト参照（IDOR）の具体例
/invoice?id=10231 の番号を1つずらすと別会社の請求書が表示される、という形が典型。対策は、ログイン中の利用者IDと資源の所有者IDが一致するかをサーバ側で毎回確認すること。番号を推測困難なランダム値に変えるのは補助にすぎない。
安全でない直接オブジェクト参照（IDOR）は試験でどう引っ掛けられる？
「ログインしていないと見えないから大丈夫」は誤り。攻撃者も正規の利用者としてログインできるため、認証だけでは他人の資源を守れない。認証（誰か）と認可（その人に権限があるか）を分けて考えるのが要点。
安全でない直接オブジェクト参照（IDOR）と関連する用語
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。