JavaScriptによるCSRFトークンの生成について

Question

CSRFトークンについて、分からない部分があり質問させて貰いました。
js-cookieを使用すれば、const csrftoken = Cookies.get('csrftoken');このような形でCSRFトークンを簡単に取得できると、Djangoドキュメントにて記載があり、実際にアプリに組み込んでみた所、取得できたことが確認出来ました。
しかし、疑問な点なのですが、ドキュメントには「CSRFトークンの cookie は csrftoken という名前ですが」とありますが、cookieはサーバー側で任意の名前をセットし発行しブラウザへ送るものであり、デフォルトでセットされているものではないのではないでしょうか...?
cookieについて、少々混乱してしまった部分があります為、教えて頂けましたら幸いです。

Answer 1

「デフォルトでは、CSRF トークンの cookie は csrftoken という名前ですが」という説明は「Djangoのデフォルト」ではそうだという意味です。一方、「cookieはサーバー側で任意の名前をセットし発行しブラウザへ送るものであり、デフォルトでセットされているものではないのではないでしょうか...?」というのは、Djangoと関係ない一般的な話です。
ウェブの一般論とDjango特有の話を混同されているように思います。

Comments

[study_111]

ご回答ありがとうございます。
自分としましては、「Cookies.get」にて何故「CSRFトークン」を取得出来るのかといった部分が分からないといった状況です。「 const csrftoken = Cookies.get('csrftoken'); 」こちらで指定している「csrftoken」はブラウザから取得していると思うのですが、サーバーサイド側でクッキーにCSRFトークンを設定していなければクッキー自体取得出来ないかと思います。今回は、Django側にレスポンスを投げずていないにも関わらず、Cookies.getによりCSRFトークンが取得出来た点が疑問なのですよね

[ockeghem]

フォームにて {% csrf_token %} と指定していますよね。このフォームを受け取るレスポンスでクッキーにCSRFトークンがセットされています。

[study_111]

ご返信ありがとうございます。
いえ、Djangoのテンプレートエンジンは使用しておらず「{% csrf_token %}」こちらを使用せずに、JavaScriptのみ「Cookies.get('csrftoken');」でCSRFトークンの生成がなされたといった形です。

[ockeghem]

それはありえないので、いったんクッキーをクリアした上で、ブラウザの開発ツール等を用いてレスポンスを観察すれば、どこでクッキーがセットされているかが分かります。クッキーはJavaScriptでもセットできますが、CSRFトークンという性質上サーバー側で発行していると思います。

[study_111]

やはり、クッキーはサーバー側での発行になりますよね...
クッキーをクリアするなどしてどこで発行されているか調べてみたいと思います

[study_111]

別ブラウザで試してみましたら、「undefined」となりました。
そうなりますと、どこかで「csrfトークン」がサーバー側で発行し、返されていたのかもしれないですね。
ですが、取り敢えずはjs-cookieを使用したクッキー生成の疑問を解決することが出来ました。
ありがとうございました。