攻撃は特定の一人を目標とする必要がありました。多くの場合このようなリクエストは、ユーザ固有のデータをまったく含んでいません。ログインしたユーザが知らない間に、そのアカウントを変更する方法を見つけます。ページを訪問すると仮定してください。ユーザのスニペットを削除してください。被害者がメインページを表示した際に攻撃が実行されます。リクエストで動作するように変更する必要があります。異なるハンドラーを呼び出す以外は同じように見えます。リクエストを利用しており、それはハッキングをちょっとだけ簡単にします。それがアクションを実行する際に送り返させる必要があります。パラメータにこのトークンを含めます。リファラーヘッダから漏れるかもしれません。古いトークンを失効させることができ、それが漏れた場合のリスクを軽減します。リクエストに含まれる値と比較します。値が等しい場合にのみ、アクションを実行する必要があります。ない場合は、拒否します。この関数にはいくつかの誤りがあります。時間以内であれば何回でもそれを再利用できます。トークンの失効時間は、ユーザがリクエストにかかるであろう最小の時間にセットする必要があります。それとは異なるリクエストに利用されてしまうという攻撃からは保護されません。ような状態を変更するためのアクション毎に固有である必要があります。ページのスクリプトにより、送信する際にトークンを更新するようサーバに要求できます。関する情報も読んでください。ユーザがそのページを訪問するとでそのスクリプトを余儀なく実行させます。攻撃者がスクリプト化できない、規則性のない値を含めます。リクエストでそれを確認します。その他のフレームワークも、それを利用可能な関数が提供されています。セキュリティを低下させます。(XSSI)¶ブラウザはあるドメインのページが、他のドメインのページを読込むのを防ぎます。あるドメインのページが、他のドメインのリソースを参照するのは防ぎません。具体的には、他のドメインの画像をレンダリングしたり、他のドメインのスクリプトを実行します。読込んだスクリプト自体にはセキュリティコンテキストがありません。それを読込んだページのセキュリティコンテキストで動作します。コンテキストで実行されます。“漏れてしまいます”。利用し、他のユーザのプライベートスニペットを読む方法を見つけてください。サイト上にページを作成し、プライベートなスニペットを読むことができるようにします。ファイルを作成し、ブラウザーで開いてください。