GETリクエストでp_authトークンが見つからない

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

問題

• CSRFトークンを有効にした後、 p_auth トークンが、期待どおりにURLに付加される。
• しかし、手動でURLの末尾からこれを削除してエンターキーを押すと、 p_auth がリクエストから消えているにもかかわらず、ページにアクセスできることに気づいた。
• これはCSRF保護が危ういことを意味するのか？

環境

• Liferay DXP 7.4

解像度

• いいえ、CSRF保護は損なわれていません。
• p_auth トークンは、POST リクエストに対する CSRF 攻撃を防ぐためのものです。
• GETもPOSTもCSRFの脆弱性を持つ可能性があるが、 RFC 9110 では、GETメソッドは検索以外のアクションを取るという意味を持つべきでないと述べている。 これらの方法は "安全 "だと考えるべきだ。 したがって、ウェブサイトが標準を守り、「安全でない」アクションをPOSTとしてのみ実装している場合、ここではPOSTリクエストのみが脆弱となる。