Fix code scanning alert - Disabled Spring CSRF protection #1770
Labels
target: Azure AD B2C Auth
Azure AD B2C認証の要件別サンプル(コード)に関係がある
target: Dressca
サンプルアプリケーションDresscaに関係がある
不適当
正しい情報ではない、価値がなくなった
Milestone
概要
AccessToken を利用した認証を実装しているため、 CSRF を明示的に disable としていましたが、 scanning alert において警告が発生しているため、対応する必要があります。
詳細 / 機能詳細(オプション)
AD B2C サンプル
・AccessToken の検証にプラスして CSRF Token による検証を実施することは冗長である
という点から、CSRF Token を明示的にdisableとしていましたが、調べてみるとSpring Security で以下のようにデフォルトでdisableになるように適用しているようです。
https://stackoverflow.com/questions/75590786/does-spring-security-automatically-disable-csrf-when-authorization-header-beare
そのため、本件に関しては警告が出ている部分を削除する形で対応します。
Dressca サンプル
oauth2ResourceServerを使用していない Dressca の部分に関しては、AccessTokenによる認証認可を取り入れる前提(Azure AD B2C との連携を考える)という意味で、 CSRF Token の適用は冗長かと思っています。
ただし、警告に対する対応は必須ということで、以下のような記載で警告が解除されないかを検証します。
https://docs.spring.io/spring-security/reference/servlet/exploits/csrf.html#disable-csrf
完了条件
Tracking issue for:
The text was updated successfully, but these errors were encountered: