PHPにおけるCSRF対策

Question

PHPアプリケーションのCSRF対策について相談させてください。

いろいろな書籍やネットなどの情報で、
CSRF対策として様々な情報が出てきます。

トークン発行すればいいとか、
トークンだけではダメとかリファラをチェックするとか、
なんとなく情報が細切れな印象があります。

アプリケーションなどによりケースバイケースと思いますが、
自分としては基本的な対策としては以下に落ち着きました。

・FormのhiddenとしてToken発行し、チェック
・・base64_encode(openssl_random_pseudo_bytes(16)
・リファラーチェック
・重要処理前にはパスワード入力

他に基本的な対策などがあれば、
ご意見いただけますと幸いです。

Answer 1

開発者のための正しいCSRF対策

ご参考までに。

Comments

[1nakaji]

参考URLありがとうございます。

こちらは読んだことがなかったので、
参照させていただきます。

やはりこの辺りが対策になるのですね。
勉強になりました。

Answer 2

安全な ウェブサイトの 作り方に載っている方法ですね！

Comments

[1nakaji]

ご回答ありがとうございます。

存在は知っていましたが、
読んだことがなかったので、
先ほど読んでみました。

内容がコンパクトにまとまっていて、
とても読みやすかったです。

確かにここに記載されている対策と似てますね。
あと確認メール送信も加えるほうがよさそうですね。

勉強になりました。