XSS on and factory Tech Bloghttps://andfactory.co.jp/techblog/tags/xss.htmlRecent content in XSS on and factory Tech BlogHugojaMon, 17 Aug 2026 15:00:00 +0900CSP は enforce か Report-Only か — GTM を使うサイトで変わる判断基準https://andfactory.co.jp/techblog/posts/csp-enforce-vs-report-only-gtm.htmlMon, 17 Aug 2026 15:00:00 +0900https://andfactory.co.jp/techblog/posts/csp-enforce-vs-report-only-gtm.html同一ドメインで連携する3つの Next.js サイトに Content-Security-Policy を導入した記録。管理系サイトは enforce で即入ったが、GTM でマーケがタグを追加するユーザー向けサイトだけ enforce にできなかった。その理由を Google 公式ドキュメントで裏取りし、enforce / Report-Only / 2ヘッダ併用の使い分けと、Next.js での実装・検証まで整理しました。Web アプリの XSS はどこから入るか — 4 つの侵入経路と多層防御モデルhttps://andfactory.co.jp/techblog/posts/xss-attack-paths-multi-layer-defense.htmlWed, 03 Jun 2026 15:00:00 +0900https://andfactory.co.jp/techblog/posts/xss-attack-paths-multi-layer-defense.htmlXSS が今も現役な理由を、4つの侵入経路（Stored / Reflected / DOM-based / サプライチェーン・拡張機能）と多層防御モデル（CSP / レート制限 / トークン隔離 / 異常検知）で整理。better-auth の AT 保存設計を例に、攻撃経路 × 防御層のマトリクスで判断する考え方を示します。