高木浩光@自宅の日記 お忙しいようですが、以前僕が触れたCSRF対策に関係するので言及を許してください。最近立て続けにツッコミを入れているので心苦しいのですが……。 以前高木氏がCSRF対策について「セッションIDをhiddenに入れればよい」と書かれました。その時僕は「キャッシュに残ると危険だ」という理由「など」でその対策は適切ではないと主張した(CSRF対策法と効果参照)が、僕と同様の主張に対して以下のような反駁があった。 cacheが残るのは脆弱性か まず、cacheは禁止するのが当然であり、cacheを禁止してもcacheに残る場合というのは、Webアプリケーションの責任ではない。残るような製品の脆弱性である。 「cacheの禁止」というのは「Pragma: no-cacheやCache-Control: no-cache」などのサーバーからUAへの指示のことだと解釈した