解説

CSRF（クロスサイトリクエストフォージェリ）攻撃では、攻撃者が被害者のブラウザを使って意図しないHTTPリクエストを正規サイトへ送信させる。有効な対策はCSRFトークン・Refererチェック・再認証など。特殊文字エスケープはXSS対策であり、CSRFには無効。

なぜ他の選択肢は違うのか

選択肢 ア

重要操作のたびにパスワードを再入力させることで、攻撃者がリクエストを偽造しても認証を通過できなくなる。CSRF対策として有効。

選択肢 イ

ログイン後に毎回異なるトークン値をHTTPレスポンスに含め、リクエスト時に照合するのはCSRFトークン方式。CSRF対策として最も一般的かつ有効。

選択肢 ウ

Refererヘッダで正規リンク元からの遷移かを確認するRefererチェックはCSRF対策として一定の効果がある。

解くときのポイント

CSRF対策とXSS対策を混同しないこと。CSRF: トークン・SameSite属性・再認証。XSS: エスケープ・CSP・HttpOnly。