不正なリクエストを弾くために使える Fetch Metadata という仕様について

作成日 2023-01-29 更新日 2023-01-29 author @bokken_ tag Web, App, Sec はじめに リクエストのコンテキストをサーバ側に伝えることで、サーバ側でリクエストが危険なものかを判別するための Fetch Metadata Request Headers という仕様がある。今回、このヘッダがどういったものなのかについて Fetch Metadata Request Headers を読んだり、周辺のドキュメントを読んでまとめる。¶ TL;DR Fetch Metadata ヘッダはクライアント側では特に何も設定する必要はなく、サポートされていればブラウザによってリクエストに自動的にヘッダに付与されサーバに送付される サーバは送られてきた Fetch Metadata をもとに CSRF などの、攻撃の可能性があるリクエストを弾く事ができる 20

[Fushihara]

正当な動作ではあるんだけど、user.jsでサイトのapiを勝手に叩いてる拡張作ってる身からするとそのヘッダー見るのやめてくれ～って悲鳴を上げてる。どんどん厳しくなる

[kiririmode]

Sec-Fetch系ヘッダ。ブラウザが勝手に送ってくれるため、その組み合わせを判断することでリクエストのコンテキストを検知しCSRFを含むアタックに対する遮断等が可能になる

[efcl]

Fetch-Sec Dataについて

[tofu-kun]

bot 対策にはならなそう