AIに「ログイン機能をつけて」と頼むと、メールアドレスとパスワードで入れる画面がすぐにできます。ログインできて、マイページも表示される。ここで「できた」と思ってしまいがちです。

任せること自体は問題ではありません。困るのは、「ログインできる」ことと「自分のデータだけが見えている」ことを、確かめずに同じものだと思い込んでしまうことです。

ログインと、データが守られていることは別の話

ログイン機能は「あなたは誰ですか」を確認する仕組みです。一方で、「あなたが見ているデータが、本当にあなた自身のものだけか」は、また別の設計判断です。

この2つは自動でセットにならないことがあります。AIに「ログイン機能をつけて」とだけ頼むと、本人確認の部分は作られますが、「取得するデータを、ログイン中の本人のものだけに絞り込む」という部分は、明示的に頼まないと抜け落ちることがあるからです。

なぜ気づけないのか

理由は単純で、自分のアカウントでログインしてテストする限り、正しく動いているように見えるからです。

自分がログインして、自分のメモ一覧を見る。ちゃんと自分のメモだけが表示される。何も問題なさそうに見えます。

でも、これは「自分のデータを見せている」からたまたま正しく見えているだけで、「他人のデータを見せない」という制御が本当に効いているかどうかは、まったく別に確認しないと分かりません。ログイン中のIDを、URLやリクエストの一部で誰でも書き換えられる状態のまま公開すると、他人がIDを1つずらすだけで、別の人のデータが見えてしまうことがあります。

以前、「動いたからOK」で本番に出す前に見落としがちな4つの危険について書きました。今回はその中でも、「ログインできる」という見た目の完成度に隠れて、いちばん気づきにくいものを1点に絞って掘り下げています。

何を知っておけば防げるか

覚えることは、実はそんなに多くありません。

「このデータ取得は、ログイン中の本人のものだけに絞られているか」を1つだけ確認する。それだけです。

  • 一覧やマイページを表示する処理を見て、「誰の」データを取ってきているかを言葉にできるか確認する
  • 自分のアカウントでのテストだけでなく、別のアカウントを作って、他人のデータが見えないかも確認する

AIにログイン機能を頼んだときも、「このデータは、ログイン中のユーザー本人のものだけに絞り込まれていますか？」と一言聞くだけで、この手の見落としには気づきやすくなります。動くログイン画面が返ってきた後ではなく、データを取得する処理の時点でこの質問をするのがポイントです。

面談なしで、今日から始められます

この講座は 未経験から Next.js + Supabase + Claude Code で Webアプリを公開するまで を全20セッションで体系化した教材付きプランです。無料相談を挟まず、申し込んだその日から教材で学習を始められます。AIが学習パートナーになって何度でも質問でき、つまずいた所だけチャットで直接サポートします。

  • 今日から始める（教材完全版＋月5,500円・チャット質問し放題・いつでも解約OK）→ https://menta.work/plan/20251?ref=menta-knowledge
  • いきなりは不安な方へ：無料の教材体験版もあります（最初の数セッション分）→ プラン詳細をご覧ください