Q&A
WebサイトのAjaxによるGET,POST処理を行っている部分にCSRF対策を追加しようと調べていたのですがcsrftokenをHeaderもしくはParameterのどちらかに入れている記事を発見しました。
Headerに追加している記事
Parameterに追加している記事
私にはどちらに追加しても同じようにみえてしまったのですが、どちらが正しいのでしょうか？もしくはメリットデメリットなどの違いがあるのでしょうか？
ご存知の方がいらっしゃいましたらご教授ください。
回答1件
0
ベストアンサー
ほぼ差はないと思いますが、ヘッダに入れると、
jsonでリクエストを送る場合でも使えるという利点があるようです。
TERASOLUNAのCSRF対策についての項目に、
「CsrfFilter は、前述のようにリクエストパラメータからCSRFトークンを取得するだけでなく、HTTPリクエストヘッダーからもCSRFトークンを取得する。Ajaxを利用する場合はHTTPヘッダーに、CSRFトークンを設定することを推奨する。JSON形式でリクエストを送る場合にも対応できるためである。」
とあります。
投稿2015/07/07 11:28
編集2015/07/07 11:29
総合スコア1546
あなたの回答
tips
プレビュー
バッドをするには、ログインかつ
こちらの条件を満たす必要があります。
2015/07/08 00:01