水無月ばけらのえび日記

例えばエントリーの保存等データの変更を伴うアクションの際には セッションごとの magic_token パラメタ (hiddenフィールドに入っています) を見て有効でない場合はログイン画面に戻されます。編集画面に行けるのは確かですけど。

ということではない?

>例えばエントリーの保存等データの変更を伴うアクションの際には セッションごとの magic_token パラメタ (hiddenフィールドに入っています) を見て有効でない場合はログイン画面に戻されます。編集画面に行けるのは確かですけど。

　はい、そういう話です。

# CSRF の話ではないのです。

クエリを処理するルーチンが気を利かせて、GETもPOSTも同じように処理できるようになっているやつですね。たしか昔どこかでも、汎用的に使えるサブルーチン集みたいな形で公開されていたような。と調べてみたら、cgi-lib.plがそうでしたね。懐かしい。