PHPerKaigi 2024
採択
2024/03/08 15:35〜
Track C
レギュラートーク（20分）
CSRF対策のやり方、そろそろアップデートしませんか
山岡広幸
hiro_y
PHPの世界では、CSRF対策としてセッションを利用したトークンを用いた方式が採られることが多いのではないでしょうか。
例えばLaravelの場合、「@csrf」とBladeのテンプレートファイルに記述して、Middlewareを用いれば簡単にトークンベースのCSRF対策が可能です。
しかし待ってください、例えばNext.jsにCSRF対策の機能はあるでしょうか。SvelteKitには？
実は、最近出てきたWebアプリケーションフレームワークでは、CSRF対策を標榜するような機能は入っていません。
本トークでは、SameSite Cookieを用いたCSRF対策について解説すると同時に、CSRF対策について改めて考察します。
当たり前だと思っていた、今までのCSRF対策を見直すきっかけになってくれたらうれしいです。