Expressを使用したCSRF対策のベストプラクティス

Question

前提・実現したいこと

現在ExpressにてWebアプリケーションのAPIサーバーを開発しております。
csurfミドルウェアを使用してCSRF対策の実装自体は出来ているのですが、どこでcsrf-tokenを返すのか、どこにプロテクトをかけるのかといった部分にアドバイスを貰いたいです。

該当のソースコード

このようなCRUD機能を実装したAPIと

const express = require('express');
const router = express.Router();
const bcrypt = require("bcrypt")
const helper = require("../../helper")
const documentClient = require("../../dbconnect")
const geocoder = require("../../gecorderSetting")
const { check, validationResult } = require('express-validator');
const csrf = require('csurf');
const csrfProtection = csrf({ cookie: false });

router.get("/show/:name", helper.authenticateToken, helper.adminUserCheck, csrfProtection, (req, res) => {
    const params = {
      TableName: "Timecards",
      Key: {
        user: req.params.name,
        attendance: "user"
      }
    };
    documentClient.get(params).promise()
      .then((result) => res.json({ "user": result.Item, "csrfToken": req.csrfToken() }))
      .catch((e) => res.status(500).json({ errors : e}))
  })

router.get("/index", helper.authenticateToken, helper.adminUserCheck, csrfProtection, (req, res) => {
    const params = {
      TableName: 'Timecards',
      IndexName: 'usersIndex',
      ExpressionAttributeNames: { '#a': 'attendance' },
      ExpressionAttributeValues: { ':val': 'user' },
      KeyConditionExpression: '#a = :val'
    };
  documentClient.query(params, (err, result) => {
    if (err) {
      res.status(500).json({errors: err})
    } else {
      res.json({ "users": result.Items,"csrfToken":req.csrfToken() })
      }
    })
});

router.post("/signup", helper.authenticateToken, helper.adminUserCheck, csrfProtection, [
  check("username").not().isEmpty().matches("^[ぁ-んァ-ヶｱ-ﾝﾞﾟ一-龠]*$").custom(value => {
    const params = {
      TableName: "Timecards",
      Key: {
        user: value,
        attendance: "user"
      }
    };
    return documentClient.get(params).promise().then((result) => {
      if (!!Object.keys(result).length) {
        throw new Error('このユーザー名は既に使用されています');
      }
      return true
    })
  }),
  check("password").not().isEmpty().isAlphanumeric().isLength({ min: 4, max: 15 })
],
  async (req, res) => {
  const errors = validationResult(req);
  if (!errors.isEmpty()) {
    return res.status(422).json({ errors: errors.array() });
  }

  const username = req.body.username;
  const password = req.body.password;
  const hashedPassword = await bcrypt.hash(password, 10);

  const params = {
    user: username,
    password: hashedPassword,
    attendance: "user",
    role: "common",
  };

  documentClient
    .put({
      TableName: "Timecards",
      Item: params,
    })
    .promise()
    .then((result) => res.json({ message: "insert seccess", "csrfToken": req.csrfToken() }))
    .catch((e) => res.status(500).json({ errors: e }));
});

router.delete("/delete/:name", helper.authenticateToken, helper.adminUserCheck, csrfProtection, (req, res) => {
  const params = {
    TableName: 'Timecards',
    Key: {
      user: req.params.name,
      attendance: "user"
    }
  };
  documentClient.delete(params).promise()
    .then((result) => res.json({ message: "delete success","csrfToken": req.csrfToken() }))
    .catch((e) => res.status(500).json({ errors: e }));
})

router.post("/relation/update", helper.authenticateToken, helper.adminUserCheck, csrfProtection, async (req, res) => {
  const user = req.body.user
  const workspots = req.body.workspots
  try {
    for (let workspot of workspots) {
      if (workspot.delete === "true") {
        let params = {
          TableName: 'Timecards',
          Key: {
            user: user,
            attendance: `relation ${workspot.name}`
          }
        };
        await documentClient.delete(params).promise();
      } else {
        const result = await geocoder.geocode(workspot.name)
        let params = {
          user: user,
          attendance: `relation ${workspot.name}`,
          workspot: workspot.name,
          latitude: result[0].latitude,
          longitude: result[0].longitude
        }
        await documentClient
          .put({
            TableName: "Timecards",
            Item: params,
          }).promise()
      }
    }
  } catch (e) {
    return res.status(500).json(e.message)
  }
  res.json({ "message": "insert success", "csrfToken": req.csrfToken() })
})

router.get("/relation/index/:username", csrfProtection, (req, res) => {
  const username = req.params.username;
  const params = {
    TableName: 'Timecards',
    ExpressionAttributeNames: { '#u':'user', '#a': 'attendance' },
    ExpressionAttributeValues: { ':uval':username ,':aval': "relation" },
    KeyConditionExpression: '#u = :uval AND begins_with(#a, :aval)'
  }
  documentClient.query(params, (err, result) => {
    if (err) {
      res.status(500).json({ errors: err })
    } else {
      res.json({ "relations": result.Items, "csrfToken": req.csrfToken() })
    }
  })
})

module.exports = router;

認証処理を実装してあるAPIがあります

const express = require('express');
const router = express.Router();
const bcrypt = require("bcrypt");
const jwt = require('jsonwebtoken');
const documentClient = require("../../dbconnect")

router.post("/login", async(req, res) => {
  const username = req.body.username;
  const password = req.body.password;
  const params = {
    TableName: "Timecards",
    Key: {
      user: username,
      attendance: "user"
    }
  };
  const result = await documentClient.get(params).promise();
  if (!Object.keys(result).length) {
    res.send(404).json({ "message": "request user is not found" })
    return;
  }
  const comparedPassword = await bcrypt.compare(password, result.Item.password);
  if (!comparedPassword) {
    res.send(401);
    return
  }
  const user = {
    name: result.Item.user,
    role: result.Item.role,
  };
  const accessToken = generateAccessToken(user);
  const refreshToken = jwt.sign(user, process.env.REFRESH_TOKEN_SECRET, {
    expiresIn: "90d",
  });
  res.json({ accessToken: accessToken, refreshToken: refreshToken });
});

router.post("/token", (req, res) => {
  const refreshToken = req.body.token;
  if (refreshToken == null) return res.send(401);
  jwt.verify(refreshToken, process.env.REFRESH_TOKEN_SECRET, (err, user) => {
    if (err) return res.send(403);
    const accessToken = generateAccessToken({
      name: user.name,
      role: user.role,
    });
    res.json({ accessToken: accessToken });
  });
});

const generateAccessToken = (user) => {
  return jwt.sign(user, process.env.ACCESS_TOKEN_SECRET, { expiresIn: "1h" });
}

module.exports = router;

疑問点

・auth.jsの認証処理にもcsrfProtectionをかけるべきか
・POST,DELETEリクエストのレスポンスにcsrf-tokenを含める必要はあるのか
・エラーレスポンスにcsrf-tokenを含める必要はあるのか

素人質問で恐縮ですがよろしくお願いします。

補足情報（FW/ツールのバージョンなど）

node --version
v16.9.1

npm list --depth 0
├── @vendia/serverless-express@4.3.11
├── aws-sdk@2.995.0
├── bcrypt@5.0.1
├── body-parser@1.19.0
├── csurf@1.11.0
├── dayjs@1.10.7
├── express-session@1.17.2
├── express-validator@6.12.2
├── express@4.17.1
├── geo-position.ts@1.4.1
├── jsonwebtoken@8.5.1
├── node-geocoder@3.27.0
├── nodemon@2.0.13
└── xlsx-populate@1.21.0

Answer 1

回答がないようですので一般論として書きます。

auth.jsの認証処理にもcsrfProtectionをかけるべきか

認証処理はCSRF対策は必須ではありませんが、対策している実装はよく見かけます。必要でないのに対策する理由はよく分かりません。

POST,DELETEリクエストのレスポンスにcsrf-tokenを含める必要はあるのか

一般論として、POSTは必要、DELETEはプリフライトリクエストのチェックで弾かれるので不要です。しかし、クッキーによるセッション管理ではなく、Authorizationヘッダにトークンを入れる場合は、そもそもCSRF対策そのものが不要です。

エラーレスポンスにcsrf-tokenを含める必要はあるのか

これは質問の意図が分かりません。

Comments

[fresh_fish]

自分なりに簡単に理解したつもりでしたがCSRF対策の基礎的な知識が不足していました。
このような稚拙な質問に回答してくださってありがとうございます。