Claude Codeを用いたVibe Codingのセキュリティ概念：認証、認可、および実施

あるソフトウェアエンジニア（10年の経験）がRedditに投稿した内容では、Claude Codeでvibe codingを行う開発者向けに、認証（Authentication）、認可（Authorization）、実施（Enforcement）という3つの核となるセキュリティ概念を、ビーチリゾートホテルの比喩を使ってわかりやすく解説しています。

3つのセキュリティ概念

• 認証（Authentication） — ロビーでのチェックイン。ユーザーが自分が誰かを証明し（例：ユーザー名/パスワード）、「ルームキー」（トークンやクッキー）を受け取ります。すべてのWebアプリのログインページがこのステップにあたります。
• 認可（Authorization） — 正規ユーザーが内部で何を許可されるか。ゲストのルームキーはスタッフルームや他のゲストの部屋を開けるべきではありません。Webアプリでは、一般ユーザーと管理者を区別し、ユーザー間のデータアクセスを防ぐことを意味します。
• 実施（Enforcement） — これらのルールを実際に適用すること。投稿では、よくあるvibe codingの落とし穴として、ユーザーが他のユーザーのデータへのアクセスを要求するケース（例：101号室しか持っていないのに102号室のキーをもらおうとする）を挙げ、アプリは認証されたユーザーが自分のリソースのみにアクセスできるように強制しなければならないと警告しています。

「ログイン（認証）だけでは十分ではありません。一部のユーザーには許可され、他のユーザーには許可されない機能が必ず存在します。これに適切な注意を払わなければ、アプリのユーザーが他のユーザーのデータを読み取ったり操作したりする可能性があります。危険です！」

vibe-codedアプリへの適用方法

この投稿は、Claude Codeを使ってアプリを構築しているプログラミング初心者を対象としています。AIエージェントに「誰が許可されているか？何を許可されているか？安全か？」と確認するよう提案しています。具体的には、ログインフローだけでなく、すべてのAPIエンドポイントやデータアクセス経路で認可ルールをチェックするようAIに指示することを推奨しています。