「CSRFって美味しいの？」←ハンズオンで実装して理解してみた - Qiita

はじめに CSRF攻撃について、技術書や記事で読んで「なるほど、理解した」と思っていました。 しかし、実際にチームメンバーに説明してみると、「なぜブラウザがCookieを自動送信するのが問題なの？」「Same-Origin Policyがあるのになぜ防げないの？」といった質問に対して、曖昧な回答しかできませんでした。 概念的な理解だけでは、実際の攻撃手法や対策の必要性を他の人に納得してもらうのは難しいものです。そこで、CSRF攻撃を実際に再現できる環境を作って、攻撃の仕組みと対策を体験してみることにしました。 この記事では、TypeScriptとExpressを使って脆弱性のあるWebアプリケーションと攻撃サイトを実装し、実際にCSRF攻撃を成功させた後、適切な対策を施して攻撃を防ぐまでの過程を記録しています。 読み終わった後に得られること CSRF攻撃の技術的メカニズムを具体的に説明でき