2005年04月28日のメモ

• # 2005/04/28 00:00 ishinao
  CSRF セッション セキュリティ
  クロスサイトリクエストフォージェリ（CSRF）の正しい対策方法 edit res
  • URL 高木浩光@自宅の日記 - クロスサイトリクエストフォージェリ(CSRF)の正しい対策方法 →9 links
    http://takagi-hiromitsu.jp/diary/20050427.html#p01

  セッションCookie値を直接使うのはやだなーと思っていたけど、よく考えたら、特にそのまま使ってダメな理由はないな。Cookieで流れているものがhiddenでも流れるだけだし。というわけで使える場合はそれを使う方向で。

• # 2005/04/28 00:00 ishinao
  CSRF セキュリティ セッション
  高木浩光＠自宅の日記 - クロスサイトリクエストフォージェリ（CSRF）の正しい対策方法 edit res
  • URL 高木浩光@自宅の日記 - クロスサイトリクエストフォージェリ(CSRF)の正しい対策方法 →9 links
    http://takagi-hiromitsu.jp/diary/20050427.html#p01

  と思ったけどやっぱり中止。俺のライブラリではセッションIDは設定によっては定期的にregenerateするんで、CSRF対策で使うコードと寿命が違ってくるから。CSRF対策専用のIDを発行してそれでチェックしよう。