LaravelはどのようにCSRF対策をしているのか？

技術記事は 個人ブログ へお引越ししました。 興味を持ってくださった方はZennではなくこちらをご購読いただければと思います🙏 誰しもLaravelのbladeでformを書くにあたって、@csrfという魔法の呪文を書いたことがあるかと思います。 「これを書いておけばCSRF対策はOK」 ドキュメントにも要約するとそういう旨が書いてあります。 この記事では@csrfについてLaravelの実装を実際に見てみることで、CSRFとその対策への理解を深めたいと思います。 ちなみにこの記事はぺちこん2024で残念ながら採択に至らなかったCfPの供養です。[1] 利用するサンプルアプリ @csrf はなにをしているのか？ そもそもですが、@csrfが何をしているのかを見てみます。 bladeに@csrfを埋め込んだ場所を、HTML変換後の状態から見てみます。 <input type="hidden

[circled]

どちらかと言うとPOSTリクエストを@csrf無しで送信すると「お前CSRF対策忘れてんぞ？」とエラー画面を出してくれて、WEB開発入門初心者がセキュリティ意識を爆上げしてくれるのがLaravelの良いところ

[prograti]

CSRFトークンはログインしているかどうかは関係ないですね。セッション開始時に作成していると思うのでStartSessionミドルウェアとか見た方が良いかと

[hasiduki]

“サーバー側に保存したトークン”Cookieにじゃないかな！！！！！！

[hatest]

id:hasiduki Laravelのことはよく知らんけど、一般的にCSRF対策は、CookieにはセッションIDを保存して、そのセッションIDをkeyにサーバ側に保存されてるtokenを取ってきたのと、画面に埋め込んだtokenとを比較するよ

[hirorinya]

学び そんなのあんのか

[tyhe]

声に出して言いたい攻撃手法代表格CSRF

[kijtra]

Laravel11になると構成変わるから混乱するだろうなw

[sds-page]

おまじないのように書いておくだけでやってくれるというのは便利ではある。ミドルウェアどうなってるのかはハマった時にしか見ないからね･･･

[mayumayu_nimolove]

勝手にやってくれる