CSRF攻撃の基礎と対策

1. 被害者が bank.example.com にログインしている（セッションCookieが存在する）
2. 攻撃者が用意した悪意あるサイト evil.example.com を被害者が開く
3. 悪意あるページに埋め込まれたフォームやimgタグが自動で発火する
4. ブラウザが bank.example.com への送金リクエストをCookie付きで送信する
5. サーバーは正規のセッションCookieを確認し、リクエストを受け付けてしまう

<!-- 攻撃者のページに埋め込まれたフォーム（自動送信） -->
<form action="https://bank.example.com/transfer" method="POST">
  <input type="hidden" name="to" value="attacker-account" />
  <input type="hidden" name="amount" value="100000" />
</form>
<script>document.forms[0].submit();</script>

<!-- GETリクエストが副作用を持つ場合はimgタグでも攻撃できる -->
<img src="https://bank.example.com/transfer?to=attacker&amount=100000" />

1. サーバーがセッションにCSRFトークンを保存し、レスポンスに含める
2. クライアントはリクエスト送信時にそのトークンをヘッダー or フォームに含める
3. サーバーはリクエストのトークンとセッションのトークンを照合する
4. 攻撃者は被害者のCSRFトークンを知らないため、有効なリクエストを偽造できない

npm install csurf cookie-parser

// main.ts
import * as cookieParser from "cookie-parser";
import * as csurf from "csurf";

async function bootstrap() {
  const app = await NestFactory.create(AppModule);

  app.use(cookieParser());
  app.use(
    csurf({
      cookie: {
        httpOnly: true,
        sameSite: "strict",
      },
    })
  );

  await app.listen(3000);
}

// csrf.controller.ts
import { Controller, Get, Req, Res } from "@nestjs/common";
import { Request, Response } from "express";

@Controller("csrf")
export class CsrfController {
  @Get("token")
  getToken(@Req() req: Request, @Res() res: Response) {
    // クライアントに渡すトークンを生成（csurfが req.csrfToken() を付与する）
    res.json({ csrfToken: req.csrfToken() });
  }
}

// フロントエンド側（例: fetch）
const { csrfToken } = await fetch("/csrf/token").then((r) => r.json());

await fetch("/transfer", {
  method: "POST",
  headers: {
    "Content-Type": "application/json",
    "X-CSRF-Token": csrfToken, // ← ヘッダーにトークンを付与
  },
  body: JSON.stringify({ to: "someone", amount: 1000 }),
});

// NestJSでセッションCookieにSameSiteを設定する例
res.cookie("session", token, {
  httpOnly: true,
  secure: true,      // HTTPS必須（SameSite: NoneはSecureが必須）
  sameSite: "lax",   // 多くのケースで推奨
});

// NestJSのミドルウェアでOriginを検証する例
@Injectable()
export class CsrfOriginGuard implements NestMiddleware {
  use(req: Request, res: Response, next: NextFunction) {
    const allowedOrigins = ["https://app.example.com"];
    const origin = req.headers["origin"] ?? req.headers["referer"];

    if (req.method !== "GET" && !allowedOrigins.some((o) => origin?.startsWith(o))) {
      throw new ForbiddenException("Invalid origin");
    }

    next();
  }
}

保存場所          XSSリスク   CSRFリスク
localStorage      高          低（Cookie未使用）
httpOnly Cookie   低          高（要CSRF対策）