今更ながらトークンについてメモしておく

これまた毎回「なんだっけ？」となるキーワードなのでメモしておく。

概要

識別子として用いられる小さな情報。
そのリクエストが、利用者の意図によって送信されたものか、また想定通りの手順を踏んで送信されたものか、などを判定するために用いられる。
関連ワード：CSRF攻撃、ボタンの二度押し

例

• セッションIDをトークンとしてHTMLに埋め込んで返し、トークンを含んだリクエストを送らせる
• ワンタイムトークン ⇒ ボタンの二度押し防止になる（例：Struts のトランザクショントークン）

などなど

参考文献

体系的に学ぶ 安全なWebアプリケーションの作り方 脆弱性が生まれる原理と対策の実践