diff options
Diffstat (limited to 'README.ja.md')
| -rw-r--r-- | README.ja.md | 16 |
1 files changed, 16 insertions, 0 deletions
diff --git a/README.ja.md b/README.ja.md index 255c1fb..9538f04 100644 --- a/README.ja.md +++ b/README.ja.md @@ -30,6 +30,18 @@ ## セキュリティと認証の詳細 +### CSRF保護 + +このプロキシには、悪意のある攻撃を防ぐためのCSRF（クロスサイトリクエストフォージェリ）保護が含まれています。これは`gorilla/csrf`ライブラリを使用して実装されています。 + +ユーザーがフォームのあるページにアクセスすると、一意のCSRFトークンが生成され、フォームに埋め込まれます。フォームが送信されると、サーバーはトークンがユーザーのセッションに保存されているものと一致するかどうかを確認します。一致しない場合、リクエストは拒否されます。 + +この保護はデフォルトで有効になっています。以下の環境変数を使用して設定できます。 + +- `CSRF_SECRET_KEY`: CSRFトークンの署名に使用される、長くてランダムな秘密鍵。 +- `CSRF_TRUSTED_ORIGINS`: 信頼できるオリジンのカンマ区切りリスト。フロントエンドがプロキシと異なるドメインでホストされている場合は、フロントエンドのオリジンをこのリストに追加する必要があります。 +- `CSRF_SAME_SITE`: CSRFクッキーの`SameSite`属性。`lax`（デフォルト）、`strict`、または`none`に設定できます。`none`に設定した場合は、`ENV=production`も設定してセキュアなクッキーを有効にする必要があります。 + ### パスワードの暗号化 ユーザーのパスワードは、平文（プレーンテキスト）では一切保存されません。パスワード専用に設計された強力で適応性のあるハッシュ関数である **bcrypt** アルゴリズムを使用して、安全にハッシュ化されます。ユーザーがログインする際、入力されたパスワードはハッシュ化され、保存されているハッシュ値と比較されます。これにより、万が一データベースが侵害された場合でも、元のパスワードが漏洩するのを防ぎます。 @@ -359,3 +371,7 @@ Authorization: Bearer <access_token> | `REGISTER` | `false`に設定すると、新規ユーザー登録を無効にします。 | `true` | | `AUTH_PATH_*` | ログイン、管理者ページなどの内部URLをカスタマイズするための変数セット。 | 様々、例: `/login`| | `AUTH_ASSETS_PATH` | 内部静的アセット（CSS, JS）を提供するためのURLパス。 | `/assets` | +| `ENV` | ランタイム環境。セキュアなクッキーを有効にするには`production`に設定します。 | - | +| `CSRF_SECRET_KEY` | **(必須)** CSRF保護のための長くてランダムな秘密鍵。 | - | +| `CSRF_TRUSTED_ORIGINS` | CSRF保護のための信頼できるオリジンのカンマ区切りリスト。 | - | +| `CSRF_SAME_SITE` | CSRFクッキーのSameSite属性。`lax`、`strict`、または`none`にすることができます。 | `lax` | |