datasette PR #2689: トークンベースのCSRF保護をSec-Fetch-Siteヘッダー保護に置き換え

**[datasette PR #2689: トークンベースのCSRFからSec-Fetch-Siteヘッダー保護へ置換](https://github.com/simonw/datasette/pull/2689)** Datasetteは、私の[asgi-csrf](https://github.com/simonw/asgi-csrf) Pythonライブラリを使用して実装されたCSRFトークンを用いて、長年にわたりCSRF（Cross-Site Request Forgery：クロスサイトリクエストフォージェリ）攻撃から保護してきました。これらは扱いがやや面倒なものであり、テンプレート内のフォームに` `タグを散りばめ、ブラウザ外から呼び出されることを意図したAPIに対してはCSRF保護を selectively（選択的に）無効化する必要があります。 私は、Filippo Valsordaによるこの研究を注視してきました。これは[2025年8月の詳細なエッセイ](https://words.filippo.io/csrf/)で説明され、その同じ月に[Go 1.25](https://tip.golang.org/doc/go1.25#nethttppkgnethttp)の一部として実装されました。 私は今、Datasetteにも同様の改変を適用しました。以下はPR（Pull Request：プルリクエスト）の説明です。Claude Codeが多くの作業を行い（10回のコミットにわたって、私の厳密な指導のもと、GPT-5.4によるクロスレビューを経て）ましたが、私はこれらのPR説明を手書きで記述し始めることにしました。その理由の一部分は、より簡潔にすることであり、また自分自身を誠実に保つための演習としても行っています。 - Go 1.25およびFilippo Valsordaによるこの研究に触発された、新しいCSRF保護ミドルウェア。これは古いトークンベースのCSRF保護を置き換えます。 - テンプレート内のすべての` `のインスタンスを削除しました。これらはもはや不要です。 - datasette/hookspecs.pyで定義された`def skip_csrf(datasette, scope):`プラグインフック、およびそのドキュメントとテストを削除しました。 - 新しいアプローチについて説明するよう、CSRF保護のドキュメントを更新しました。 - CSRF 変更に関するアップグレードガイドを記載しました。 タグ: [csrf](https://simonwillison.net/tags/csrf), [security](https://simonwillison.net/tags/security), [datasette](https://simonwillison.net/tags/datasette), [ai-assisted-programming](https://simonwillison.net/tags/ai-assisted-programming)

datasette PR #2689: トークンベースのCSRF保護をSec-Fetch-Siteヘッダー保護に置き換え

背景や根拠まで確認しますか？

調べる

選ぶ

サイト