ITパスポート試験 テクノロジ系 練習問題 第59問: Webアプリケーションに対するクロスサイトリクエストフォージェリ（CSRF）の対策として、最も適切なものはどれか。

正解: 1. 重要な処理を受け付けるリクエストに、第三者が推測できない値を含めさせ、その値が正しい場合だけ処理する

CSRFは、利用者がログインしたまま罠のページを開くと、利用者のブラウザから正規のサイトへ利用者の意図しないリクエストが送られ、処理が実行されてしまう攻撃です。IPA「安全なウェブサイトの作り方」は根本的解決として、処理を実行するページの前のページで、第三者が予測困難な秘密情報を「hidden」パラメータに出力し、その値が正しい場合のみ処理を実行する方法を挙げています（1が適切）。 2はクロスサイトスクリプティング、3はSQLインジェクションへの対策です。4のTLSによる暗号化は盗聴を防ぎますが、罠のページから送らせるリクエストも利用者のブラウザが暗号化して送るので、CSRFは防げません。

関連キーワード: クロスサイトリクエストフォージェリ・CSRF・リクエスト・Webアプリケーション