質問: 安全なwebアプリケーションの作り方第2版の3章を読んでいたのですが、疑問な点があった為、質問させて貰いました。 具体的には、input.phpのform内のテキストボックスやラジオボタンで何かを入力し、それをconfirm.phpへpost送信する際、OWASP ZAPというプロキシツールで入力したテキストボックスの値やラジオボタンの値を書き換えることができてしまいます。 自分は、これらの書き換えは「hidden」パラメータでなければ書き換えられないと思っていたのですが、書き換えられるということはhiddenパラメータ以外でも書き換えなどを許してしまうということなのでしょうか...? どうも、hiddenパラメータは書き換えが可能で危険だとの情報を目にすることが多かった為、何故hiddenパラメータばかり着目されるんだろうといった点も疑問な点ではありました...
回答: > > 自分は、これらの書き換えは「hidden」パラメータでなければ書き換えられないと思っていたのですが、書き換えられるということはhiddenパラメータ以外でも書き換えなどを許してしまうということなのでしょうか...? > > > はい。`hidden`であってもそうでなくても、`POST`の際には同様に送信されますので、同じやり方で書き換えが可能です。