CSRF 対策フレームワーク

最終更新日: 2023-11-08
  • トピック:
  • Developing
    このトピックの詳細を表示
  • 作成対象:
  • Developer

Apache Sling Referrer Filter に加えて、Adobeは、この種の攻撃から保護する新しい CSRF 保護フレームワークも提供します。

このフレームワークでは、トークンを使用して、クライアントの要求が正当なものであることを保証します。 トークンは、フォームがクライアントに送信されるときに生成され、フォームがサーバーに送り返されるときに検証されます。

メモ

匿名ユーザーのパブリッシュインスタンスにはトークンがありません。

要件

依存関係

に依存する任意のコンポーネント granite.jquery 依存関係は、CSRF 保護フレームワークから自動的にメリットを得ることができます。 そうでない場合は、任意のコンポーネントに対して、依存関係を宣言する必要があります。 granite.csrf.standalone このフレームワークを使用する前に、

暗号鍵のレプリケーション

トークンを使用するには、デプロイメント内のすべてのインスタンスに HMAC バイナリをレプリケートする必要があります。 詳しくは、HMAC キーのレプリケーションを参照してください。

メモ

必ず必要な Dispatcher 設定の変更 CSRF 保護フレームワークを使用する場合。

メモ

Web アプリケーションでマニフェストキャッシュを使用する場合は、必ず「*」をマニフェストに追加して、トークンが CSRF トークン生成呼び出しをオフラインで受け取らないようにします。 詳しくは、こちらのリンクを参照してください。

CSRF 攻撃とその対策について詳しくは、クロスサイトリクエストフォージェリに関する OWASP のページを参照してください。

このページ