search

0gajun / 2018-newbies

1 stars 1 forks source link

Protect api from CSRF attacks #67

Closed 0gajun closed 6 years ago

0gajun commented 6 years ago

Issue : #15

/api にCSRF脆弱性があったのでその対策。 OWASPの https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF)_Prevention_Cheat_Sheet#Verifying_Same_Origin_with_Standard_Headers に則って OriginとHostの一致を検証した。

CSRFを狙った、nova以外のサイトからのリクエストの場合は headers['Host'] と headers['Origin'] が一致しないことを利用したもの。

close #15

0gajun commented 6 years ago

チェックによってAPIのテストが全部落ちて辛い。あとで直す

0gajun commented 6 years ago

テスト通った :tada: