92461


[Rails API × Next]の構成で、セッションCookieを使ってログイン状態の管理をする予定です。  
この場合、Rails APIにCORSの設定をするだけで、CSRF対策は万全といえるのでしょうか？？

CORSが設定されていれば、悪意のある外部サイト(異なるオリジン)からのリクエストを防いでくれるので、セッションCookieを利用した偽造リクエストもできないのかなと思っています。  
どなたか詳しい方、教えていただけると助かります。


CC BY-SA 4.0
2022-11-25T13:55:32.143
92432
2022-11-27T06:15:45.960
2022-11-26T12:31:05.503
43337
43337
question
ruby-on-rails security next.js cors
Rails API × Next におけるCSRF対策はCORSの設定だけで良いのかどうか


CORSはCSRFの対策にならないという話（あるいはCORSは何でないか）  
<https://qiita.com/netebakari/items/41baa7e1d0b8d89f9d12>

>
> CORSはユーザーの意図しないリクエストを発生させることを防ぐためのものではなく、返ってきた値を邪悪なJavaScriptのコードが参照することを防ぐためのものです。リクエスト自体はいくらでも発生させることができるので、サーバー側の検証なしでCSRF対策とすることはできません。


CC BY-SA 4.0
2022-11-27T06:15:45.960
92461
2022-11-27T06:15:45.960
15380
92432
answer