• state

• nonce

• PKCE

• redirect URIの完全一致

• 認可コードの一回限り利用

• セッションとの関連付け

• OpenID Connectライブラリの利用

stateは単なる固定文字列ではなく、予測困難でログイン開始時のセッションに結び付ける必要があります。

PKCEは認可コード横取りだけでなく、認可フローに対する一部のCSRFやコード注入対策にも関係します。

3-10. Same-Site・Cross-Origin型

SameSite Cookieにおける「site」と、Same-Origin Policyにおける「origin」は異なります。

https://app.example.com
https://blog.example.com

この2つは次の関係です。

Same-Site:   Yes
Same-Origin: No

そのため、脆弱な兄弟サブドメインがあると、SameSite Cookieだけでは防げない場合があります。

特に注意すべき場所は次のとおりです。

• ユーザーアップロード用サブドメイン

• 古い検証環境

• 廃止予定の管理画面

• 外部サービスへ委譲したサブドメイン

• サブドメインテイクオーバーの可能性があるDNS

• 任意リダイレクトを持つサブドメイン

機密システムとユーザー生成コンテンツは、単なるサブドメイン分離ではなく、別の登録可能ドメインへ分ける方が強い分離になります。