定義
OWASP API Security Top 10 は 2019 年版でこれを「Excessive Data Exposure」として挙げ、2023 年版では、許されていない項目の読み書きをまとめた「Broken Object Property Level Authorization」に統合した。表示する項目の絞り込みを画面側に任せ、サーバーはデータベースの行をそのまま返す実装で起きやすい。
マクニカの集計（2026 年 10 月 7 日公表）は、狙われた不備として「必要以上の情報を返す API」を挙げ、スマホアプリから取り出した API キーで、正規のアクセスに見える形で API を呼ぶケースもあると報告している。2026 年 7 月以降に公表された 81 件のうち 9 件では、API やデータベースを通じた情報取得が確認された。対策として記事は、API が必要以上のデータを返していないか、ゲストアクセスで不要な結果を返していないかの点検を勧めている。
Lemma での実装
過剰なデータ返却は、「必要な事実」を確かめるために「原データ」を丸ごと渡す設計から生まれる。Lemma は、問い合わせに対して原データではなく、条件を満たすことの証明を返す。「この会員は 20 歳以上か」に対して返るのは生年月日ではなく、それを示す ゼロ知識証明 である。
返してよい項目は、スキーマ と 選択的開示 の設定として最初に決まる。Lemma を通す問い合わせでは、開示しない属性が応答に含まれる経路そのものがないため、画面側の絞り込みに頼らずに済む。
どのクライアントが、どの属性を、いつ受け取ったかは 監査証跡 に残る。想定より広い範囲の読み取りが続いていないかを、後から照合できる。