記事一覧
技術記事・日々の学びをまとめています。
シンプリシティ ―持続可能かつ人間的で効果的なソフトウェア開発
『シンプリシティ ―持続可能かつ人間的で効果的なソフトウェア開発』の書評。複雑さに飲み込まれがちなソフトウェア開発を、いかにシンプルに保つかを問う一冊。技術的なテクニックにとどまらず、何を作らないか・どこで立ち止まるかという選択が、長く健全に開発を続けるうえで効いてくることを気づかせてくれる。
最新記事
自分の親に読んでほしかった本
『自分の親に読んでほしかった本』の書評。イギリスの心理療法士フィリッパ・ペリーによる、子育てと親子関係についての一冊。しつけのテクニック集ではなく、子どもとの関係の築き方や親自身の感情との向き合い方に重きを置く。完璧さよりも、失敗したときの修復を大切にする視点が印象に残る。
世界はシステムで動く ―いま起きていることの本質をつかむ考え方
『世界はシステムで動く』の書評。システム思考の古典として知られるドネラ・メドウズの一冊。ストックとフロー、フィードバックループといった概念を軸に、世界を相互に関係し合うシステムとして捉え直す視点をくれる。問題の原因を個々の要素ではなく構造に見いだし、レバレッジポイントを見極める大切さを説く。
SPAのトークンをどこに置く？BFF＋セッションで守る認証構成
SPAでアクセストークンをどこに保存するか（localStorageの危険性）、BFF＋セッションでトークンをブラウザに渡さない構成、そして最初はトークンレスで十分な理由を解説する。
サービス間認証の全体像とは？mTLS・Token Exchange・SPIFFE・ゼロトラスト
マイクロサービス間の認証を「ネットワーク層/トークン層/アイデンティティ基盤」の3レイヤで整理する。mTLS・Token Exchange（RFC 8693）・SPIFFE・ゼロトラスト（NIST SP 800-207）・BeyondProdまで解説する。
送信者制約トークンとは？mTLS（RFC 8705）とDPoP（RFC 9449）入門
bearerトークンの弱点を塞ぐ送信者制約（Sender-Constrained Token）を解説する。mTLS（RFC 8705）とDPoP（RFC 9449）でトークンを送信者に束縛する仕組み、audを絞るResource Indicators（RFC 8707）まで整理する。
動的クライアント登録（DCR）とは？RFC 7591・7592入門
OAuthクライアントをAPIで動的に登録・管理するDynamic Client Registration（RFC 7591）とClient Management（RFC 7592）を解説する。登録エンドポイント、registration access token、セキュリティ考慮まで整理する。
OIDCのログアウトとSecurity Event Token（SET）とは？
OpenID ConnectのFront-Channel LogoutとBack-Channel Logout、そしてSecurity Event Token（RFC 8417 SET）によるセッション失効・イベント通知の仕組みを解説する。
アクセストークンの検証と失効とは？Introspection・JWT AT・Revocation
アクセストークンの2方式（opaque + Introspection / JWTアクセストークン）の検証方法と、Token Revocationによる失効を比較する。RFC 7662・RFC 9068・RFC 7009を整理する。
OpenID ConnectのDiscoveryとメタデータとは？自動設定と鍵取得の仕組み
OpenID ConnectのID Tokenの役割と、Discovery（OpenID Connect Discovery / RFC 8414 AS Metadata）による自動設定・公開鍵取得の仕組みを解説する。jwks_uriによる鍵ローテーションまで整理する。
OAuth 2.1とは？OAuth 2.0からの変更点とSecurity BCP（RFC 9700）
OAuth 2.0から2.1への変更点と、RFC 9700 Security BCP・RFC 6819 脅威モデルが示すセキュリティ対策を整理する。PKCE必須・Implicit非推奨・Mix-Up対策など、現在のOAuthで守るべき点をまとめる。
JOSEとは？JWT・JWS・JWE・JWK・JWAの全体像と安全な使い方
JOSE（JWT/JWS/JWE/JWK/JWA）の全体像を解説する。JWTとJWSの違い、署名の3パートと暗号化の5パートの構造、alg混同やnone攻撃を防ぐJWT BCP（RFC 8725）まで整理する。
Maybe Postgres Is Enough：別のDBを足す前にPostgresで足りるか考える
キャッシュや全文検索のために別のミドルウェアを足す前に、Postgresで足りないか確認したい。postgresisenough.devを参考に、用途ごとの代替機能を一覧で簡潔にまとめる。
システム思考で読むプラットフォームエンジニアリング
プラットフォームエンジニアリングとシステム思考には親和性があるのではないか。その直感を言葉に落とすために、ストック・フロー・遅延・原型・レバレッジポイントという語彙で、プラットフォームの振る舞いと陥りやすい失敗の構造を読み直してみる。
システム思考の基本 ―世界をストックとフィードバックで捉える
ドネラ・メドウズ『世界はシステムで動く』を土台に、ストック・フロー・フィードバックループ・レバレッジポイントといったシステム思考の中心概念を一般向けに整理する。
APIスタイルの比較：REST・GraphQL・gRPC・Webhook・WebSocket・メッセージング
REST・GraphQL・gRPC・Webhook・WebSocket・メッセージングという6つのAPIスタイルを、通信モデルによる分類軸で整理し、それぞれの概要・設計観点・pros/consと使い分けの指針を横断的にまとめる。API設計でスタイルを選ぶときの地図となる記事。
リアルタイムWeb通信の比較：ポーリング・SSE・WebSocket・WebRTC・WebTransport
ポーリング・SSE・WebSocket・WebRTC・WebTransportという5つのリアルタイムWeb通信技術を、通信方向やトランスポートで分類し、概要・最小実装・pros/consと選定基準を横断的にまとめる。実時間通信の方式を選ぶときの地図となる記事。
暗号の基礎：共通鍵・公開鍵・一方向性関数・ハッシュ・デジタル署名
共通鍵暗号と公開鍵暗号の違いから、RSAやECCを支える一方向性関数・トラップドア関数、ハッシュ関数、デジタル署名まで、暗号技術の基礎部品を一次ソースを示しながら解説する。公開鍵の用途を署名・暗号化・鍵交換の3つに整理する、暗号シリーズ全3回の第1回。
暗号技術の応用：TLS・JWT・SSH
TLS・JWT/JWS・SSHという身近なプロトコルが、共通鍵・公開鍵・署名・鍵交換・PKIをどう組み合わせているかを、公開鍵の3用途（署名・暗号化・鍵交換）の視点でRFCを引きながら解説する。暗号シリーズ全3回の最終回。