CSRF とは？

ログインしているサービスへ、本人が意図しない設定変更などのリクエストをブラウザーに送らせる攻撃だよ。例えば罠のページをきっかけに、対応が不十分なサービスで操作が行われる場面があるんだ。Cookieを盗まなくても成立する場合があるよ。

ブラウザーが送信条件に合うCookieを自動で付けるため、サーバーがログイン状態だけを見て処理すると、本人の希望した操作か区別できないんだ。ただし別サイトからのリクエストに、いつでもCookieが付くわけではないよ。

サーバーが用意した予測しにくい値を、操作のリクエストに含め、サーバー側で検証するんだ。値がない・一致しない場合は拒否するよ。フォームに置くだけでは足りないので、フレームワークの標準機能があれば、その設定と動作を確認して使おう。

すべてを止める設定ではないよ。例えば別サイトのリンクから開く最上位のGETリクエストにはCookieが付く場合がある。GETで設定変更などを行わない設計が大切だね。同じサイトと同じオリジンも別なので、SameSiteだけで万全と考えず、トークンや送信元の確認などを検討しよう。

XSSは、信頼されるページの文脈で悪意あるスクリプトを実行させる問題だよ。CSRFは、本人のブラウザーから意図しないリクエストを送らせる問題。XSSは情報を盗むだけではなく、CSRF対策を回避する操作にも使われ得るので、両方を対策する必要があるんだ。