JWT認証が必要な領域でも、認証チェックが無効になっているURLはCSRF制限をかけたい

[seto1]

概要

コントローラーでallowUnauthenticatedを設定している状態
JWT認証が必要な領域でログイン・未ログインどちらでもアクセス可能なAPIが存在する場合に制限が必要

baserCMS version : 5.0.0

[seto1]

ここを外してどうなるか要確認

https://github.com/baserproject/basercms/blob/dev-5/plugins/baser-core/src/Plugin.php#L312

// 認証できていない場合、領域がJwt認証前提の場合はスキップ
if($authSetting['type'] === 'Jwt') return true;

影響あるのはログインだが、スキップ設定されているので問題ないはず

basercms/plugins/baser-core/src/Plugin.php

Line 304 in 14c527a

if(in_array($request->getPath(), $this->getSkipCsrfUrl())) return true;

basercms/plugins/baser-core/config/setting.php

Line 354 in 14c527a

'skipCsrfUrlInPostApi' => [

[ryuring]

@seto1 こういう文献もあるんですがどうですかね？
https://qiita.com/mejileben/items/ae7b346f0fc4a59101b5

[seto1]

@ryuring Authorizationヘッダが必要な場合はCSRF対策用のトークンは不要だと思いますが、allowUnauthenticatedの対象の場合はAuthorizationヘッダが無くてもアクセスできちゃうんですよね。

[ryuring]

@seto1 あああ、なるほどケースが違うのか。理解できました。