Cross-Site Request Forgery
クロスサイトリクエストフォージェリ
クロスサイトリクエストフォージェリ（CSRF）は、サインイン中のブラウザにユーザーが選択していない操作を送信させる攻撃です。ターゲットサイトはブラウザが自動で追加するクッキーやその他の資格情報を信頼します。
もう一つの例
サインインした給与管理者が、銀行口座変更を`POST`しようとする有害なページを訪問します。アプリはセッションCSRFトークンを必要とし、`Origin`を確認し、`SameSite`クッキーを使用します。また管理者に再度サインインするよう求めます。`GET`リンクでは給与を変更できません。
主な部分
- 01環境認証済みセッション
- 02クロスサイト偽装リクエスト
- 03サーバー側のCSRF対策検証
以下の場合に使用します
データを変更するすべてのブラウザリクエストを保護します。これには、保存された資格情報を単独で送信するリクエストも含まれます。適切なトークンとオリジンチェックを使用してください。
以下の場合は使用しないでください
`POST` だけでは保護にならず、CORS も完全な CSRF 防御ではありません。CSRF トークンを URL や他のサイトが読める場所に置かないでください。
コードで使用する名前
synchronizer/double-submit token + Origin/Fetch Metadata checks + SameSite + reauthentication 出荷前に
Work only within an explicitly authorized and isolated defense test. Check the trust boundary, inert regression case, mitigation, and handling of secrets and personal data. Check redacted detection signals, safe failure, incident owner, recovery, and rollback. Never test a real target.
Outcome：Complete the task with クロスサイトリクエストフォージェリ (Cross-Site Request Forgery)。 User context：サインインした給与管理者が、銀行口座変更を`POST`しようとする有害なページを訪問します。アプリはセッションCSRFトークンを必要とし、`Origin`を確認し、`SameSite`クッキーを使用します。また管理者に再度サインインするよう求めます。`GET`リンクでは給与を変更できません。 Risk or control to address：クロスサイトリクエストフォージェリ (Cross-Site Request Forgery)。 Why it applies：データを変更するすべてのブラウザリクエストを保護します。これには、保存された資格情報を単独で送信するリクエストも含まれます。適切なトークンとオリジンチェックを使用してください。 Classification boundary：`POST` だけでは保護にならず、CORS も完全な CSRF 防御ではありません。CSRF トークンを URL や他のサイトが読める場所に置かないでください。 Safety requirements: Test only in an isolated space with explicit permission. Use inert, harmless inputs. Protect secrets and personal data. Name the trust boundary and record the mitigation. Operational safeguards: Set up detection and logs that hide sensitive data. Name the incident owner. Define a safe failure mode and rollback before release. Acceptance criteria: A defensive regression test fails before the mitigation and passes after it. No real target, secret, or personal data is used. Monitoring and rollback are verified. Evidence and limits (evidence boundary)：その情報源にとって公式です。他のプラットフォームやチームはその用語を別の方法で使用する場合があります。 Unknowns to confirm: Authorized scope, affected assets, data class, threat actor, incident owner, and rollback limits.
このリクエストを確認する
Review how クロスサイトリクエストフォージェリ (Cross-Site Request Forgery) is used now. Definition: クロスサイトリクエストフォージェリ（CSRF）は、サインイン中のブラウザにユーザーが選択していない操作を送信させる攻撃です。ターゲットサイトはブラウザが自動で追加するクッキーやその他の資格情報を信頼します。 Release checks: Work only within an explicitly authorized and isolated defense test. Check the trust boundary, inert regression case, mitigation, and handling of secrets and personal data. Check redacted detection signals, safe failure, incident owner, recovery, and rollback. Never test a real target. Before changing code, list the evidence, gaps, severity, and the smallest safe fix.