FuelPHPのCSRF対策トークンは何が問題だったのか

Fumito Mizuno @ounziw

cookie にトークンを置くと javascript からも操作できる、というのが理由か。js_fetch_token も用意されているし

田中ひさてる @tanakahisateru

あーそうか、CSRF対策の実装に対して、別の攻撃(セッションハイジャックやXSS)に対する堅牢生を期待するから、トークンのサーバ保存だったり、コンテキストの妥当性だったり、ハッシュ化だったりがあるのが当たり前っていう先入観があったのか。でもいくらか困難になるなら、あってもうよな。

田中ひさてる @tanakahisateru

@kenji_s @ounziw @brtriver まったくw けっきょく中の人がちゃんと仕事することが最強の対策だというオチに

田中ひさてる @tanakahisateru

公開フォームの場合は、ユーザのログインセッションと関係がないから、CSRF対策は関係ない。信頼しているログイン済みのセッションcookieを利用されることが問題の本質。ただのワンタイムは、postする前にロボットがトークン拾って来れば終わり。公開のときはcaptchaが妥当。