[Rails API × Next]の構成で、セッションCookieを使ってログイン状態の管理をする予定です。
この場合、Rails APIにCORSの設定をするだけで、CSRF対策は万全といえるのでしょうか??
CORSが設定されていれば、悪意のある外部サイト(異なるオリジン)からのリクエストを防いでくれるので、セッションCookieを利用した偽造リクエストもできないのかなと思っています。
どなたか詳しい方、教えていただけると助かります。
スタック・オーバーフローはプログラマーとプログラミングに熱心な人のためのQ&Aサイトです。すぐ登録できます。
登録してこのコミュニティに参加するCORSはCSRFの対策にならないという話(あるいはCORSは何でないか)
https://qiita.com/netebakari/items/41baa7e1d0b8d89f9d12
CORSはユーザーの意図しないリクエストを発生させることを防ぐためのものではなく、返ってきた値を邪悪なJavaScriptのコードが参照することを防ぐためのものです。リクエスト自体はいくらでも発生させることができるので、サーバー側の検証なしでCSRF対策とすることはできません。