Django の設定における `settings.CSRF_COOKIE_HTTPONLY` の詳細解説

settings.CSRF_COOKIE_HTTPONLY は、Django のセキュリティ設定の一つであり、CSRF（Cross-Site Request Forgery）攻撃対策に役立ちます。この設定について、分かりやすく解説します。

CSRF 攻撃とは？

CSRF 攻撃は、ユーザーの認証済みセッションを悪用して、意図せぬ操作を実行させる攻撃です。攻撃者は、ユーザーの知らないうちに、ログイン済みの Web サイトへ悪意のあるリクエストを送信します。

settings.CSRF_COOKIE_HTTPONLY の役割

settings.CSRF_COOKIE_HTTPONLY を True に設定すると、CSRF トークンを含む Cookie に HttpOnly フラグが設定されます。これにより、JavaScript から Cookie に直接アクセスできなくなり、CSRF 攻撃のリスクを軽減できます。

注意点

settings.CSRF_COOKIE_HTTPONLY を True に設定すると、JavaScript による CSRF トークンの取得が困難になります。そのため、AJAX リクエストなどで CSRF トークンを送信する場合は、適切な対策が必要です。具体的には、以下の方法があります。

カスタムヘッダーを使ってトークンを送信する
フォームテンプレートに埋め込まれた {% csrf_token %} タグからトークンを取得する

推奨設定

CSRF 攻撃対策としては、settings.CSRF_COOKIE_HTTPONLY を True に設定することを推奨します。ただし、AJAX リクエストなどで CSRF トークンを送信する場合は、上記のような対策も必要です。

settings.CSRF_COOKIE_HTTPONLY は、Django の重要なセキュリティ設定の一つです。この設定を適切に理解し、活用することで、CSRF 攻撃のリスクを軽減することができます。

CSRF 攻撃対策としては、settings.CSRF_COOKIE_HTTPONLY以外にも、様々な方法があります。
settings.CSRF_COOKIE_HTTPONLY は、Django 1.6 以降で利用できます。

# settings.py

CSRF_COOKIE_HTTPONLY = True

settings.CSRF_COOKIE_HTTPONLY を False に設定するには、以下のコードを使用します。
このコードは、Django 1.6 以降で使用できます。

CSRF_COOKIE_HTTPONLY = False

AJAX リクエストなどで CSRF トークンを送信する場合は、以下の方法でトークンを取得できます。

方法 1: フォームテンプレートからトークンを取得

<form method="post">
{% csrf_token %}
...
</form>

上記のコードでは、{% csrf_token %} タグを使って、CSRF トークンを取得しています。

// JavaScript コード
const csrfToken = document.querySelector('[name="csrfmiddlewaretoken"]').value;

const xhr = new XMLHttpRequest();
xhr.open('POST', '/some/url/');
xhr.setRequestHeader('X-CSRFToken', csrfToken);
xhr.send();

settings.CSRF_COOKIE_SECURE

settings.CSRF_COOKIE_SECURE を True に設定すると、HTTPS 接続でのみ Cookie を送信するように設定できます。これにより、HTTP 接続での CSRF 攻撃を防ぐことができます。

利点

HTTP 接続での CSRF 攻撃を完全に防ぐことができます。

注意点

古いブラウザでは、Cookie を正しく処理できない場合があります。
HTTPS 接続のみで Web サイトを運用する必要があります。

コード例

CSRF_COOKIE_SECURE = True

settings.CSRF_COOKIE_SAMESITE

settings.CSRF_COOKIE_SAMESITE を Strict に設定すると、同じドメインからのリクエストのみで Cookie を送信するように設定できます。これにより、異なるドメインからの CSRF 攻撃を防ぐことができます。

利点

HTTPS 接続と HTTP 接続の両方で Web サイトを運用できます。
異なるドメインからの CSRF 攻撃を防ぐことができます。

注意点

AJAX リクエストなどで Cookie を送信する場合は、適切な対策が必要です。
サブドメイン間での Cookie 共有が制限されます。

コード例

CSRF_COOKIE_SAMESITE = 'Strict'

Content Security Policy (CSP)

CSP は、Web ページが読み込むことができるスクリプト、スタイルシート、画像などのリソースを制限するセキュリティポリシーです。CSP を適切に設定することで、CSRF 攻撃を防ぐことができます。

利点

XSS 攻撃などの他の種類の攻撃も防ぐことができます。
高度なカスタマイズ性と柔軟性があります。

注意点

すべてのブラウザで CSP がサポートされているわけではありません。
設定が複雑で、誤設定のリスクがあります。

settings.CSRF_COOKIE_HTTPONLY にはいくつかの代替方法がありますが、それぞれに利点と注意点があります。Web サイトのセキュリティ要件や環境に合わせて、最適な方法を選択してください。

最新の情報については、Django の公式ドキュメントを参照してください。
上記以外にも、CSRF 攻撃対策には様々な方法があります。