LaravelのCSRFトークンのhttpOnly属性がfalseとなっている事によるセキュリティリスクの有無

Question

LaravelでCookieを利用する際には、デフォルトで、 httpOnly が true となるように設定されていると思います。
symfonyのcookie生成のコンストラクタ

しかし、CSRF対策のトークンに関してはこの httpOnly が false に設定されているようです。
framework/src/Illuminate/Foundation/Http/Middleware/VerifyCsrfToken.php

これは、AngularなどのJSフレームワーク上からCSRFトークンを利用出来るようにあえて false となっていると思うのですが、このCSRFトークンのクッキーの httpOnly が false となっていることによるセキュリティリスクはありますでしょうか？

なんとなく問題はなさそうな気はしているのですが、問題がない事の解説がもらえると助かります。
逆にセキュリティ的に問題がある場合はその理由がわかるとありがたいです。

よろしくお願いします。

Answer 1

CSRFトークンは、もともとHTMLに埋め込むものなので、さらにCookieに持たせたからと言って、アクセスできなかったものができるようになることはありません。Cookieに入れなかったとしても、XSSでフェームから抜かれる危険性という意味では変わりません。

アプリケーションでHTMLフォームを定義する場合はいつでも、隠しCSRFトークンフィールドをフォームに埋め込み、CSRF保護ミドルウェアがリクエストの有効性をチェックできるようにしなければなりません。（Laravel 5.4のドキュメントより）

Comments

[botan]

なるほど！確かにその通りですね。
なんだかマヌケな質問になってしまいました…。ありがとうございます！