csrfではなくセッションcookieを使用できますか？

Question

私はcsrfとfiddliNについて、goとgorillaツールキットを使って実装しています。私は暗号化されたクッキーにユーザーIDを格納するために実装したゴリラセッションも使用しています。

クッキーが解読され、私は私が書いたミドルウェアを使用して、今、暗号化されていないキーと値のストアとDBからユーザーを取得...

ユーザーがのOAuth2プロバイダを通じて認証からセッションクッキーを作成している場合このような保護を必要とするすべてのビューがユーザーにのみ許可されている場合は、csrf保護を実装する必要がありますか？

Answer 1

ユーザがあなたのサイトにログインし、同じセッションでインターネットを閲覧し続けたとします。ユーザーのブラウザをサイトのエンドポイントに要求させるHTMLまたはJSを使用して、悪意を持ってターゲット設定している別のサイトを見つけてしまいます。これには、ドメインのユーザーのセッションCookieが含まれ、CSRFトークンで保護されていない限り成功します。