はじめに

Day16 では、

✅ JWT（Bearer Token）認証の実装
✅ Authorization ヘッダーでの API 保護

まで到達しました。

ここで多くの人が疑問に思います。

❓「JWT なのに CSRF 対策って必要なの？」

今日はこの疑問を 完全に解消 します。

今日のゴール

・CSRF 攻撃の仕組みを図で説明できる

・なぜ Cookie 認証で問題になるのか理解する

・なぜ JWT(API) では不要と言われるのか分かる

・Laravel の CSRF 防御を説明できる

CSRF とは何か？

CSRF = Cross-Site Request Forgery

日本語にすると、

「ユーザーが意図しないリクエストを勝手に送らせる攻撃」

CSRF 攻撃の基本構造

① ユーザーがログイン中
② 攻撃者サイトにアクセス
③ 自動でリクエスト送信
④ サーバが本人と誤認

イメージ図（文章版）

[ユーザー]
  ↓ ログイン済み（Cookieあり）
[銀行サイト]

[攻撃サイト]
  ↓ 勝手にPOST
[銀行サイト] ← Cookie自動送信 😱

なぜ Cookie 認証は危険？

ブラウザは 自動で Cookie を送信 します。

POST /transfer
Cookie: session=xxxxx

👉 ユーザーの操作かどうか区別できない

CSRF 対策の基本思想

「そのリクエストは本当に正規画面から来ましたか？」

これを確認するために
👉 CSRF トークン を使います。

Laravel の CSRF 対策

Laravel は デフォルトで CSRF を防御 しています。

① CSRF トークン発行

<input type="hidden" name="_token" value="xxxxx">

② リクエスト時に検証

VerifyCsrfToken

・トークンが一致しない
→ 419 エラー

JWT 認証なのに CSRF は必要？

結論から言います。

JWT（Bearer Token）認証の API では基本不要

理由はこれ。

Authorization ヘッダーは自動送信されない

Authorization: Bearer xxx

・JavaScript が明示的に設定

・攻撃サイトから勝手に送れない

👉 CSRF 成立しない

じゃあ JWT + Cookie は？

もし JWT を Cookie に保存 すると…

⚠️ CSRF 対象になる

この場合は
👉 CSRF トークンが必要

方式別まとめ

認証方式	CSRF対策
Cookieセッション	必須
JWT（Authorization）	不要
JWT（Cookie保存）	必須

Laravel API で CSRF を無効化する理由

API では通常、

・セッションを使わない

・Authorization ヘッダー使用

そのため VerifyCsrfToken を通さない構成が多い。

protected $except = [
    'api/*',
];

ただし注意点

CSRF が不要でも
XSS は防ぐ必要がある

・JWT を盗まれると即アウト

・input のエスケープ

・CSP 設定

今日の重要ポイント

・CSRF は Cookie 自動送信が原因

・JWT(API) は手動送信なので安全

・保存場所によって必要対策が変わる

・Laravel はデフォルトで CSRF 防御済み

今日のまとめ

・CSRF は「なりすましリクエスト攻撃」

・Cookie 認証では必須対策

・Authorization ヘッダーは CSRF 対象外

・JWT × API は設計次第で安全

次回 Day18

次は API を守る最後の砦 です。

Day18 — APIのRate Limit（アクセス制限）を実装してみる

「叩き放題 API」を卒業します。