CookieのSameSite属性で「防げるCSRF」と「防げないCSRF」 - まったり技術ブログ

CookieのSameSite属性はCSRF対策のために提案されたもので、その属性をCookieに付与するだけでほとんどのサイトの場合はCSRF対策が可能になります。 しかし、SameSite属性の付与が今までのCSRF対策の代わりになり、今まで行ってきたCSRF対策をしなくてよくなるというわけではありません。 CSRF対策の為に提案された属性ですが、サイトの特性によってはCSRFを防ぐことができない場合があります。 今回は、その「防げないCSRF」とはどういったものであるのか、一例をあげます。 そして実際にSameSite属性付与が付与される脆弱なサンプルサイトを使って説明していきます。 目次 目次 TL;DR サンプルアプリケーションを用いての検証 サンプルサイトの機能 CSRFの確認 CSRFトークンを用いている場合 SameSite属性を用いている場合 まとめ TL;DR 「防げる