CSRF Token
CSRF トークンは、サーバーが生成してセッションに紐付ける予測不能な乱数値であり、フォームやリクエストヘッダーに埋め込んでリクエストの出所が正当かを検証する。
目的
クロスサイトリクエストフォージェリを防ぎ、リクエストが悪意あるサイトではなく正当なページから来ていることを保証する。
メカニズム
サーバーはセッション用のランダムトークンを生成し、隠しフォームフィールドやカスタムヘッダーに埋め込む。送信時にサーバーはトークンを照合し、不一致なら拒否する。SameSite クッキーが追加の保護を与える。
ユースケース
- フォームの CSRF 防護
- API の CSRF 防護
- セッションのセキュリティ