oauth2 apiを使用しているSPA - csrf保護が必要です

Question

私のウェブサイトは完全なSPAであり、認証されたユーザーのすべての要求はアクセストークンを使用して行われます。 csrfの保護は必要なのでしょうか？ウェブサイトからcsrf保護を無効にすると、どのような潜在的なセキュリティ上の問題が発生する可能性がありますか？ありがとう。

Answer 1

私はあなたのセットアップを理解していれば、以下のように、それは次のとおりです。

1. ユーザー投稿の資格情報（例：ログインフォーム）
2. Serverは
3. ユーザーとのリクエストヘッダ内のトークンを含む応答
に認証トークンを返しそれ以降のすべてのリクエスト

TLSを使用していて、トークンを適切に検証していると仮定すると、クロスサイトリクエストフォージェリからすでに保護されていると思います。

典型的なCSRFの保護は、正当なウェブサイトだけが見ることができる（例えば、クッキーを設定することによって）トークンを送信し、フォローアップリクエストヘッダー、クエリパラメータ良いアイデア）、または身体を要求する。あなたのようなトークンベースの認証は、すでにこれらの要件を満たしています。要するに、邪悪なサイトが偽造要求（CSRF）を迂回する可能性がある場合、邪悪なサイトはおそらく同じ脆弱性を利用して典型的なCSRF保護を無効にする可能性があります。