CSRF とは？

ネットバンクにログインしたままの状態で、悪意あるサイトを開いたときに「送金してください」というリクエストが勝手に送られてしまう、みたいな攻撃だよ。本人が操作したわけじゃないのに操作したことになってしまうんだ。

ブラウザはリクエストを送るとき、そのドメインのクッキー（ログイン情報）を自動的につけて送る仕様があるんだ。罠サイトから別サイトへのリクエストでも、クッキーが一緒に送られてしまうから「正規ユーザーからのリクエスト」として処理されてしまう。

XSSは「スクリプトを実行させてブラウザ内の情報を盗む」攻撃で、CSRFは「ユーザーが意図しないリクエストをサーバに送らせる」攻撃だよ。目的と仕組みが違うんだ。どちらもWebアプリの重要な脆弱性だけどね。

CSRFトークンがメインの対策だよ。サーバがフォームにランダムな値（トークン）を埋め込んでおいて、リクエスト時にそのトークンが正しいか確認する。罠サイトはトークンの値を知れないから、検証で弾けるんだ。

すごく関係あるよ！クッキーに「SameSite=Strict」や「SameSite=Lax」を設定すると、別サイトからのリクエスト時にそのクッキーを送らないようにブラウザが制御してくれる。近年のブラウザはデフォルトでLaxを適用するようになってきていて、CSRFの難易度が上がっているけど、完全に防げるわけではないのでCSRFトークンとの組み合わせが推奨されるんだ。