さいきょうの二重サブミット対策 - Qiita

この記事はシステムエンジニア Advent Calendar 2015 - Qiitaの記事です。 弊社アーキ部で@kawasimaさんに教えてもらったさいきょうの二重サブミット対策について書いていきます！ 二重サブミットが発生するケース 不正な更新リクエストが発生するケースとして、以下のものが考えられます。 サブミットボタンをダブルクリックする 戻るボタンで戻って、再度保存ボタンを押す 完了ページでブラウザリロードする CSRF攻撃による不正な更新リクエスト 1. サブミットボタンをダブルクリックする 確定ボタンをダブルクリックすることによって、ユーザが意図していないリクエストが発生してしまうケース。 2. 戻るボタンで戻って、再度保存ボタンを押す 処理完了画面から戻るボタンで前の画面に遷移し、再び確定ボタンを押すケース。 本来は入力➡︎確認➡︎完了の画面遷移が適切だが、その画面遷移にな

[cider_kondo]

「三重サミット対策」に空目。「あー、サイバーテロは心配だよね」みたいな

[hyperash]

すごい丁寧な解説がありがたい。Web開発者の基本教養として広まってほしい。……ただ、これだけ対策しても確認画面をブラウザ2枚で開かれた場合の決定打がなくて困っている。Web技術は底なし沼。

[oakbow]

バージョン番号による更新がないなあ。これだとどんなケースでも二重更新防げるはずだと思うけどな。

[kijtra]

クライアントから「単なるフォームにそんなお金かかるの？」(要約：そんなのいらんから安くしろ)て言われるやつ。

[xenon_abe]

トークンの使い方がひどくて、戻る・進む一切使えないシステムがあったりするのでちゃんと利便性考えるように。SubmitボタンDisableはjQueryのoneを使うといい。

[efcl]

2重submit対策のいろいろ。 disable button, PRG、Token、リロード対策

[kathew]

ブコメの、データにバージョン番号を持たせる対応、なるほどと思う。対応できないのは同一テーブルの値を複数人が更新する場合だけど、そこは設計でカバーかな

[kasumani]

さいきょうの二重サブミット対策 不正な更新リクエストが発生するケースとして、以下のものが考えられます。 確定ボタンをダブルクリックすることによって、ユーザが意図していないリクエストが発生してしまうケース

[amberjack115]

SpringSecurityはセッション単位のトークン生成

[igrep]

くわっしぃ！

[cabinotier]

こういうのちゃんと考えんとな。

[naga_sawa]

トークンチェックとボタンDisable化で大体防げると

[GARAPON]

ホッテントリだぜ！頑張れしょぼちむ！

[nilab]

「トークンエラー時にエラーを画面表示をするのではなく正常終了に見せる」「入力ー確認ー完了画面で同じトークンをトランザクションIDとして使用」「トランザクションIDが同じであれば必ず同じレスポンスを返す」

[otchy210]

あれって、PRG っつー名前あったんだ。一般的？

[delphinus35]

これPRGパターンっていうんだ。

[pmint]

UIの話なら「2度送信されたら2度受け付ける」が正しい。二重サブミットだけ考えてるとおかしな事になりそう。Amazonなら購入済み商品に注意書きを表示するけど、必要なのはそういうことでは。あと「エラー」は専門用語

[a2cNSMR]

qiita 二重サブミット

[hirose504]

"トークンチェックにてNGになった場合、単に画面に「トークンエラー」だけ表示すると、ユーザは登録に失敗したと思うかもしれません" という思考はなくさずにいたい

[digitalglm]

Java - さいきょうの二重サブミット対策 - Qiita: この記事は システムエンジニア Advent Calendar 2015 - Qiita の記事です。 弊社アーキ部で @kawasima…

[ichiro2015]

こういうのでベストプラクティスが未だにないのが不思議。例えば確認画面で入力内容をhiddenに入れておくかセッションに入れておくかで未だに悩む。

[nyop]

楽しい。

[bufferings]

すごいなー。これだけ書くのめっちゃ知識要る。

[kotomalism]

ぱねえ。

[decoy2004]

フレームワークが提供している？

[oh240]

よい

[odap]

マウスの真ん中ボタンにダブルクリックを関連付けて、何でもダブルクリックする人がいたけど、ボタンdisableで対策になるのかな。

[the48]

あー、これヤル方だ