Razor を利用した MVC での CSRF 対策 - ASP.NET 入門

ここではセキュリティ対策のひとつとして、クロスサイトリクエストフォージェリ (Cross-site Request Forgery, CSRF または XSRF) 対策について説明します。 CSRF がどのようなものであるか、ということについては、説明が長くなるのでここでは説明を割愛します。 しかしながら、CSRF 対策として「そのセッションだけに有効なトークンをフォームに埋め込むことが有効である」ことだけは、頭に入れて置いてください。 それを前提として、ASP.NET の MVC (Razor ビュー) でアンチ・クロスサイトリクエストフォージェリ・トークンをどのように埋め込むのか、そして、それをどのように使うのか説明します。 CSRF 対策を施していない場合の動作確認 まずはじめに、何も CSRF 対策を実施していない場合の挙動を確認しましょう。 ASP.NET の MVC Web ア

[JHashimoto]

“CSRFトークンをフォームに埋め込みポストデータに含ませて、サーバー側で認識しているセッション情報と照合します。”