)スマートフォン用の表示で見るうな(。まわりのめもめもこの広告は、90日以上更新していないブログに表示しています。セッション情報を送信することを利用した攻撃方法。ログインしているとする。ログインされた状態で読み込まれる。リクエストでできるアクションを強制的に起こすことができる。リクエストも起こすことができる。叩かせる、といったことができてしまう。自発的に送信されたリクエストであることを検証できれば、上記のような攻撃を防止することができる。埋め込んで一緒に送ってもらう方法。ワンタイムトークンを使うとセッション情報を保持しなければならず、面倒臭い。対策を行うことができる。そもそも、自サイトを経由して送られたリクエストであることが検証できればよいのだから、ワンタイムトークンを使うまでもない。保持させたランダム文字列を使い、サーバのもつ単一の秘密鍵で署名する。リクエストを次のように検証する。入れたやつ)と等しいこと。サーバのみにある秘密鍵を使った署名が付与されているので、勝手につくることや、改ざんはできない。そのようなトークンが送信された場合は検証に失敗する。値を自由に弄ることはできない。ユーザ毎(ブラウザ毎)に違うからユーザ毎に違うトークンを使うことになり、トークン再利用攻撃も防止されている。ソース面倒臭いので割愛まとめこのようなセキュリティ関係は考え出すと面倒臭い。脆弱性は単純な割にはかなり致命的な攻撃ができてしまう。軽量フレームワークを使う場合は、このような実装も考えていくことになる。