とっても簡単なCSRF対策 - Qiita

【2021/10/15 追記】 この記事は更新が停止されています。現在では筆者の思想が変化している面もありますので，過去の記事として参考程度にご覧ください。 CSRFおよびその対策の仕組みに関してはこちら↓ これで完璧！今さら振り返る CSRF 対策と同一オリジンポリシーの基礎 - Qiita この記事は，PHPにおけるワンタイムトークンを用いた実装例を示すものです。執筆日が少々古いものになるのでご了承ください。 コメント欄の議論に関するまとめ 以下，XSS脆弱性が存在しない前提．この脆弱性があるとあらゆるCSRF対策がほとんど意味をなさなくなるので，まずここから潰しておくこと． セッション固定攻撃に対する対策 ログイン後にsession_regenerate_idを必ず実行する． ログアウト後にsession_destroyを必ず実行する． CSRF攻撃に対する対策 セッションIDを抜か

[todesking]

コメントが意味不明で怖い……

[ockeghem]

トークンに加えてリファラのチェックも必要というコメントがあるが、これは間違い。XSSがある前提ではリファラをチェックしても意味ないし

[n314]

短くていい。BadMethodCallException…？

[tettekete37564]

XSSとCSRFの要件とセッションジャックとトークンの強度がごっちゃになった議論。コレ読むなら高木浩光先生の2005年のCSRF対策の記事の方がシンプルでよく分かる。> http://takagi-hiromitsu.jp/diary/20050427.html