PHP逆引き大全 516の極意

セキュアプログラミングの極意 - Tips464 クロスサイトリクエストフォージェリ(CSRF)に対処する

登録タグ
PHP
Icon comment count 0
Icon stock count 0

7-7安全なリクエスト送信処理Tips464 クロスサイトリクエストフォージェリ(CSRF)に対処する

Level2

Pointワンタイムチケットを使用する

CSRFの対策を以下に挙げます。

ワンタイムチケットの使用

予測が難しい文字列長のランダムな値(チケット)をサーバ側で生成し、入力フォームのhiddenタグに埋め込みます。その値をサーバ側のセッションオブジェクトにも保持しておき、リクエストとして受信したチケットと比較し、一致する場合のみ書き込み処理を行います。比較が成功した場合は、チケットを破棄します。

パスワード再入力画面の利用

重要度の高い機能はパスワードの再入力を求め、認証成功時のみ、機能を実行します。

その他、リファラをチェックする方法、CAP
TCHA
を入力させる方法などがありますが、補助的な対策として捉えてください。

出典情報

Medium

PHP逆引き大全 516の極意

  • 著者: 大家 正登, 茂木 健一, 鮫島 康浩, 谷中 志織

コメント

    コメントはありません