クロスサイトリクエストフォージェリ（CSRF）とは？意味・仕様とエンジニア向け解説

Entity Relationships (GEO Conceptual Hierarchy)

Taxonomy Model

Relational Knowledge Graph Sequence

CSRF→

SameSite Cookie→

CSRFトークン→

Webセキュリティ→

OWASP Top 10

CSRF

•>SameSite Cookie

•>CSRFトークン

•>Webセキュリティ

•>OWASP Top 10

Technical Explanation & Operational Mechanics

CSRFは、ブラウザがクロスオリジン通信時にも認証用Cookie（セッションCookie）を自動送信する挙動を悪用します。主な防御策として、CookieのSameSite属性、ワンタイムCSRFトークン検証、およびカスタムリクエストヘッダーの要求が必須です。

Technical Example & Practical Implementation

CSRFトークン検証パターン

状態変更リクエストにおける暗号学的トークンの照合フロー

<!-- Attacker's malicious site (evil.com) triggers transfer on bank.com -->
<form id="csrfForm" action="https://bank.com/api/transfer" method="POST">
  <input type="hidden" name="toAccount" value="999888777" />
  <input type="hidden" name="amount" value="5000" />
</form>
<script>document.getElementById('csrfForm').submit();</script>

<!-- Server-side Mitigation 1: Hardened Cookie Attributes -->
Set-Cookie: sessionId=xyz123; Secure; HttpOnly; SameSite=Lax

<!-- Server-side Mitigation 2: Anti-CSRF Synchronizer Token -->
<input type="hidden" name="_csrf" value="dGhpcy1pcy1hLXNlY3VyZS10b2tlbg==" />