| 防御 | 強さ | 単独利用 | 注意点 |
|---|---|---|---|
| CSRFトークン | 高い | 推奨しない | XSSがあると破られる可能性 |
| SameSite Cookie | 中～高 | 不十分 | GET、Same-Site攻撃、例外挙動 |
| Origin検証 | 高い | 補助向け | 非ブラウザクライアントへの配慮 |
| Referer検証 | 中 | 単独は非推奨 | Referrer-Policyとの競合 |
| カスタムヘッダー | 高い | APIで有効 | CORS設定が重要 |
| 再認証 | 高い | 重要操作向け | UXへの影響 |
| CAPTCHA | 低～中 | 単独不可 | 自動送信を妨げるだけ |
| WAF | 補助 | 単独不可 | 正規形式の偽造リクエストを識別しにくい |
| Fetch Metadata | 中～高 | 補助向け | 非対応クライアントへの移行設計 |
| ユーザー操作確認 | 高い | 重要操作向け | 毎操作では負担が大きい |
SameSite=Laxでは、利用者がリンクを開くようなトップレベルGETナビゲーションでCookieが送信される場合があります。
状態変更をGETで実行していれば、CSRFが成立します。
アプリケーションやフレームワークが次のパラメータを受け付ける場合があります。
_method=POST
_method=DELETE