[Skill 名] php-csrf-audit

PHP CSRF 監査（php-csrf-audit）

PHP プロジェクトのソースコードを分析し、状態変更を引き起こす可能性のあるすべてのインターフェース（POST/PUT/PATCH/DELETE、または副作用のある GET）が CSRF 保護（トークン検証、SameSite/CORS 連携、二重送信 Cookie など）を実装しているかを確認します。

分類と番号付け

• 詳細については、shared/SEVERITY_RATING.md を参照してください。
• 脆弱性番号：{C/H/M/L}-CSRF-{連番}

保護ポイントと必須検査内容（強制）

以下を識別し、出力する必要があります。

1. 状態変更エントリポイント：ルーティングの HTTP メソッド、副作用（データベースへの書き込み/権限更新/トランザクション開始/タスクトリガーなど）の有無
2. CSRF トークン生成：トークンのソース（session/cookie/random）、フィールド名、フォームまたはリクエストヘッダーへの注入方法
3. CSRF トークン検証：バックエンドの検証ロジックの位置と条件（ログインユーザーのみを検証するか、バイパスブランチが存在するか）
4. 検証バイパス：「特定のブランチのみ検証しない」「特定の Content-Type のみ検証する」「AJAX 時のみ検証する」などの存在
5. 同一オリジン/クロスサイト補助：SameSite、CORS/クロスドメイン設定、Referer/Origin 検証（注意：Referer/Origin 単独の依存も不安定な場合があります）

データフロー追跡要件

少なくとも以下のいずれかのチェーンを追跡する必要があります。

• トークンソース（例：$_SESSION['csrf']）からフロントエンド出力まで
• そしてバックエンドのトークン受信（$_POST/headers）と検証（比較/ハッシュ検証）まで

レポート出力

以下に出力します。

{output_path}/vuln_audit/csrf_{timestamp}.md

脆弱性項目テンプレート（強制）

以下のセクションを必ず含める必要があります。

• 位置の証拠（ルート + 検証関数/ミドルウェアの位置）
• データフローチェーン（トークン生成 -> フロントエンドでの送信 -> バックエンドでの検証）
• 悪用可能な前提条件（ログインが必要か、攻撃者がページを構築できるか、ブラウザの同一サイトポリシー）
• 検証 PoC（実際のルートとリクエスト構造を必ず含めること。ログインが必要な場合は、Cookie/ログイン状態の説明を記載すること）
• 推奨される修正（トークン検証の配置、失敗時の応答ポリシー、フィールド名の統一、バイパスブランチへのカバレッジ追加）

証拠の引用（強制：php-route-tracer から）

各 CSRF リスクは、トレース内の証拠ポイントを個別に引用する必要があります（状態が「検証待ち」であっても、証拠の引用は必須です）。

1. EVID_CSRF_STATE_CHANGE_HANDLER_EXEC：状態変更ハンドラーの実行証拠（トレースのブランチパス証拠）
2. EVID_CSRF_TOKEN_SOURCE：CSRF トークンのソースと生成証拠（session/cookie/random など）
3. EVID_CSRF_TOKEN_RECEIVE：リクエストにおける CSRF トークンの受信/検証ロジックへの入力位置証拠（トレースのパラメータ入力点/ブランチ証拠）
4. EVID_CSRF_TOKEN_VERIFY：CSRF 検証の比較/ハッシュ判断位置証拠（トレースの条件と早期終了証拠）
5. EVID_CSRF_BYPASS_BRANCH：バイパスブランチ証拠（例：特定の Content-Type のみ検証、または AJAX のみ検証）

tracer 証拠の欠落処理（強制）

• トレース契約の検証に失敗した場合、または上記の 1～5 のいずれかの重要な証拠ポイントが欠落している場合：そのリスクは ⚠️検証待ち とマークされるだけであり、「悪用可能であることが確認された」という断言はできません。