HttpOnlyのCookieのセッション情報による認証方法

Question

CSRF回避のため、HttpOnlyをつけたCookieを用いる場合、
Cookie内のセッション情報等をJavaScriptで読み取れなくなりますが、
セッション情報を、サーバーに保存されているものと照合して認証する場合、
JavaScriptで読み取る以外の方法が思いつきません。
別の方法をご存知でしたら教えていただきたいです。

Comments

[kkdebug]

リクエストヘッダにcookie情報をのせる分には問題ないから大丈夫そうですね

Answer 1

CSRFのトークン検証はJavaScriptではできず、サーバー側で実施するしかないので、httponly属性の有無は影響はありません。

Comments

[kkdebug]

なるほど、確かにそうですね。
ご回答ありがとうございました。