研究
VercelではX-Forwarded-Forを偽装できない？25パターンで検証してみた
要点
- Vercel上でX-Forwarded-Forヘッダーを偽装できるかを25パターンで検証した記事である
- 検証の背景には、Supabaseを使うアプリで匿名サインインのリクエスト制限にIPアドレスを用いる必要があったことがある
なぜ重要か
IPアドレスを基準にしたレート制限や不正対策を実装する場合、クライアントから送られるX-Forwarded-Forを信頼してよいかを判断する材料になる。
影響を受ける人
- Vercelにデプロイするアプリの開発者
- Supabaseで匿名サインインを使う開発者
- #Vercel
- #Supabase
- #X-Forwarded-For
- #レート制限
- #セキュリティ
まえがき こんにちは、RyoK73です。 現在開発しているアプリで、Supabaseをバックエンドとして採用しています。 その中で、サーバーサイドの処理として、匿名サインインの時間あたりのリクエスト制限を設定するために、サーバーからのリクエストのIPアドレスを、ユーザー本...