IT パスポート通信・DB・Webの動作を読むオリジナル・公式資料照合難易度
ログイン済み利用者のブラウザーをだまして、別サイトから状態変更の要求を送らせる攻撃へ備えたい。代表的な対策はどれか。
A
HTML出力をエスケープする対策だけで要求の意図を保証する
XSS対策としての出力処理だけでは要求偽造を防ぐ保証にならない。
B
URLのパラメーターを符号化するだけで、正当な画面の操作とみなす
符号化した文字列であっても、利用者が意図した操作かを検証する必要がある。
C
状態変更要求で推測困難なCSRFトークン等を検証する★ 正解
利用者が意図した正当な画面からの要求かを検証する対策を組み合わせる。入力値のSQL処理対策や画面出力対策だけとは対象が異なる。
D
SQLの文字列連結だけをパラメーター化すれば、この攻撃も必ず防げる
SQLインジェクション対策と要求偽造への対策は異なる。
解説
利用者が意図した正当な画面からの要求かを検証する対策を組み合わせる。入力値のSQL処理対策や画面出力対策だけとは対象が異なる。
根拠資料・確認情報
対応範囲：ITパスポート／2026年度 シラバスVer.6.5
資料確認日：2026-11-02
アプリ内の初回回答データ
回答データを読み込んでいます。