トークン検証

トークンケンショウ（Web開発とセキュリティ）

意味 CSRFからサイトを守る方法

トークン検証とは？

トークン検証は、Webサイトを不正な攻撃から守るための重要な手法です。特に、CSRF（クロスサイトリクエストフォージェリ）攻撃を防ぐために使われます。この方法では、フォームに隠しフィールドとしてランダムなトークンを埋め込み、サーバー側でそのトークンの正当性を確認することで、不正なリクエストを識別します。

トークン検証の具体的な使い方

CSRFトークン生成と検証の実装例

<?php
session_start();

// CSRFトークンを生成
function generateCSRFToken() {
    if (!isset($_SESSION['csrf_token'])) {
        $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
    }
    return $_SESSION['csrf_token'];
}

// CSRFトークンを検証
function validateCSRFToken($token) {
    if (!isset($_SESSION['csrf_token']) || $token !== $_SESSION['csrf_token']) {
        die('CSRFトークン検証失敗');
    }
    return true;
}

// フォーム表示
if ($_SERVER['REQUEST_METHOD'] === 'GET') {
    $csrf_token = generateCSRFToken();
    echo "<form method='POST'>
        <input type='hidden' name='csrf_token' value='$csrf_token'>
        <input type='submit' value='送信'>
    </form>";
}

// フォーム送信時の処理
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (validateCSRFToken($_POST['csrf_token'])) {
        echo "CSRFトークン検証成功。正常な処理を続行します。";
    }
}

👇出力結果

CSRFトークン検証成功。正常な処理を続行します。

この例では、CSRFトークンの生成と検証を行う関数を実装しています。GETリクエストでフォームを表示する際にトークンを生成し、POSTリクエストで送信されたトークンを検証しています。これにより、正規のフォームからの送信であることを確認し、CSRF攻撃を防ぐことができます。

トークン検証に関するよくある質問

Q. CSRFとは何ですか？

A. CSRFは「Cross-Site Request Forgery」の略で、ウェブアプリケーションに対する攻撃の一種です。攻撃者が、ログイン済みのユーザーに不正なリクエストを送信させることで、ユーザーの意図しない操作を実行させます。

Q. トークン検証の目的は？

A. トークン検証の主な目的は、受信したリクエストが正規のウェブサイトから送信されたものであることを確認し、CSRF攻撃を防ぐことです。各リクエストに一意のトークンを含めることで、不正なリクエストを識別し、拒否することができます。

Q. トークンはどこに保存しますか？

A. CSRFトークンは通常、サーバーサイドのセッションに保存します。クライアントサイドでは、フォームの隠しフィールドやカスタムHTTPヘッダーなどを使用してトークンを送信します。セッションとリクエストの両方でトークンを照合することで、リクエストの正当性を確認します。

トークン検証が学べる書籍の紹介

「プログラミング単語帳」を使って、プログラミングの単語を英単語のように学習してみませんか？
プログラミング単語帳には、PHPのトークン検証やsession_destroy()、session_start()、htmlspecialchars()、などのような実務でよく使われる単語が数百以上収録されています。
この書籍には、プログラミングの単語の意味や読み方、単語の使い方がわかる例文などが掲載されており、いつでもどこでもプログラミングの学習ができます。

よく使われる単語にだけ絞って学習することができるので、効率的にプログラミングが学習できます。