質問: CSRF対策として、「トークン」を自動的に発行してCSRF対策を行なっていますが、 この「トークン」はユーザーの各セッションごとに自動生成しているということは、ブラウザの方でキャッシュ・Cookieログイン情報などを全て消去し、ログインした際に発行されるトークンではなく、Cookieを消去する前に発行された「トークン」を使用した場合、別ユーザーのトークンとして扱い、リクエストが成功した場合は、脆弱性があるといっていいのでしょうか。
回答: > > この「トークン」はユーザーの各セッションごとに自動生成している > > > この認識が間違いです。 フォームを表示したときに毎回自動生成しているはずです。 なりすましによるPOSTリクエストを防ぐために、まずGETでフォームを表示したときに一時的なトークンを発行し、そのトークンをPOSTリクエストに正しく入力できた場合のみ有効なリクエストとして処理するようにするのです。 したがって、CSRFトークンはこの画面遷移の間だけ有効で、ふぉーむがひょうじされるたびb毎回作り直されると思ってください。