セキュリティ

クロスサイトリクエストフォージェリ（CSRF）

CSRFは、ログイン中の利用者のブラウザーを悪用して、利用者の意図しない操作を対象サイトに送らせる攻撃です。資格情報が自動で付くことを利用します。

概要

CSRFは、利用者がログインしている状態を悪用する攻撃である。MDNの用語集は、悪意のあるサイトからの要求で、ユーザーの資格情報付きのリクエストを送らせると説明している。

ブラウザーは、対象サイトへの要求に認証用のCookieを自動で付けることがある。この仕組みが、攻撃に利用される理由の1つになる。

重要な操作には、利用者の意図を確かめる仕組みを付ける、といった考え方がある。具体的な実装は、使っているフレームワークの指針を確認するとよい。