ログイン要求の password
ユーザー名・パスワード・ログイン保持の 3 項目だけのログイン要求の例です。password の値だけが *** に置き換わり、ほかの項目は元のまま残ることを確かめます。
入力
JSON
{"user":"taro","password":"p@ss","remember":true}追加で伏せる項目名(カンマか改行で区切る・省略可)
(空)
置き換える文字
***
結果
エラー 0 件・警告 0 件・情報 2 件
指摘(エラー・警告・情報)
- 情報 $.password 項目名「password」の値を *** に置き換えました。
- 情報 出力全体 判定は項目名の推定だけで、値の中身は見ていません。項目名が一般的でない秘密(例: key1)や、秘密を含む長い文字列の値は伏せられません。共有する前に出力を目で確かめてください。
| 伏せ字にした項目 | 1 件 |
|---|---|
| 調べた項目名 | 3 個 |
| 語を含むが伏せなかった項目 | 0 件 |
伏せ字にした JSON
{
"user": "taro",
"password": "***",
"remember": true
}検算(この結果になる理由)
OWASP の指針は認証のパスワードを記録しないとしています。項目名 password は語 password に当たるので値だけが ***に置き換わります。user と remember は当たらず元のままで、伏せた項目は 1 件、調べた項目名は 3 個です。
判定の根拠は仕様と根拠に、仕様の出典とともにまとめています。自分の入力で試すにはツールをお使いください。
このツールの制約
- 判定は項目名の推定だけで、値の中身は見ません。key1 のような一般的でない名前の秘密や、メッセージの文章に混ざった秘密は伏せられません。
- 同じオブジェクトに同じ項目名が重複している場合は、読み込み時に最後の値だけが残ります(RFC 8259 4 節)。また、桁の大きすぎる数は丸められることがあります。
- 個人情報(氏名・住所・メールアドレス・電話番号)は対象外です。必要なら「追加で伏せる項目名」に指定してください。
- JSON Lines(1 行に 1 つの JSON)や、コメントのある JSON5・JSONC は、JSON としてはエラーになります。
ご利用にあたって
- このツールの判定は項目名の推定です。出力に秘密が残っていないか、共有の前に必ず目で確かめてください。
- 大きな JSON はお使いの端末の性能によって処理に時間がかかることがあります。