SvelteKitのCSRF対策とCookieセキュリティ：本番向け認証を強化する

import type { Handle, HandleServerError, HandleFetch } from '@sveltejs/kit';
import { redirect } from '@sveltejs/kit';
import { getSession } from '$lib/server/session';

const PROTECTED_ROUTES = ['/mypage'];

export const handle: Handle = async ({ event, resolve }) => {
  // ── セッション検証（第2回と同じ） ──
  const sessionId = event.cookies.get('session_id');
  if (sessionId) {
    event.locals.user = await getSession(sessionId);
    if (!event.locals.user) event.cookies.delete('session_id', { path: '/' });
  } else {
    event.locals.user = null;
  }

  // ── 保護ルートガード ──
  const isProtected = PROTECTED_ROUTES.some((r) => event.url.pathname.startsWith(r));
  if (isProtected && !event.locals.user) {
    redirect(303, `/login?redirectTo=${event.url.pathname}`);
  }

  // ── API エンドポイントの追加 CSRF チェック ──
  const isMutatingApi = event.url.pathname.startsWith('/api/')
    && ['POST', 'PUT', 'DELETE'].includes(event.request.method);
  if (isMutatingApi && event.request.headers.get('x-requested-with') !== 'XMLHttpRequest') {
    return new Response('Forbidden', { status: 403 });
  }

  const response = await resolve(event);

  // ── セキュリティヘッダーを一括設定 ──
    response.headers.set('X-Frame-Options',        'SAMEORIGIN');
    response.headers.set('X-Content-Type-Options',   'nosniff');
    response.headers.set('Referrer-Policy',          'strict-origin-when-cross-origin');
    response.headers.set('Permissions-Policy',        'camera=(), microphone=(), geolocation=()');
    // CSP：本番では自サイトのオリジンのみ許可する（段階的に厳しくしていく）
    response.headers.set('Content-Security-Policy',
      "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline' https://fonts.googleapis.com; font-src 'self' https://fonts.gstatic.com; img-src 'self' data:"
    );

  return response;
};

// handleError・handleFetch は第2回と同じ
export const handleError: HandleServerError = ({ error, event, status, message }) => {
  if (status !== 404) console.error(`[handleError] ${status} ${event.url.pathname}`, error);
  return { message: status === 404 ? 'ページが見つかりません' : message };
};

export const handleFetch: HandleFetch = ({ request, fetch, event }) => {
  const url = new URL(request.url);
  if (url.origin === event.url.origin && url.pathname.startsWith('/api/')) {
    const sessionId = event.cookies.get('session_id') ?? '';
    return fetch(new Request(request, {
      headers: { ...Object.fromEntries(request.headers), 'x-session-id': sessionId },
    }));
  }
  return fetch(request);
};

$ curl -I http://localhost:5173/

HTTP/1.1 200 OK
content-type: text/html
x-frame-options: SAMEORIGIN
x-content-type-options: nosniff
referrer-policy: strict-origin-when-cross-origin
permissions-policy: camera=(), microphone=(), geolocation=()
content-security-policy: default-src 'self'; ...

src/
 ├─ hooks.server.ts UPDATE ← API CSRF チェック・セキュリティヘッダー追加
 └─ lib/server/
         └─ cookie.ts NEW ← Cookie オプション一元管理