先生と生徒の会話形式で理解しよう

生徒

「先生、Flaskでフォームを作ったときに、セキュリティの対策って必要なんですか？」

先生

「うん、とても大事なことだよ。特にCSRF（シーエスアールエフ）という攻撃から守るために対策をしておく必要があるんだ。」

生徒

「CSRFってなんですか？全然わからないです…」

先生

「大丈夫、今からCSRFの意味と、Flask-WTFという便利な機能を使った対策方法を、わかりやすく一緒に学んでいこう！」

1. CSRFってなに？初心者でもわかるように説明！

まず、CSRF（Cross-Site Request Forgery）とは、Webサイトのフォームが悪用されてしまう危険な攻撃のことです。自分の意思とは関係なく、勝手にボタンを押されたり、フォームが送信されてしまったりする状態を想像すると理解しやすいでしょう。

たとえば、あなたがあるサイトにログインしたまま、別の悪意あるページを開いたとします。すると、そのページに仕込まれた仕組みが、あなたが意図していない情報を本物のサイトに送ってしまうことがあります。つまり、「あなたのふりをして勝手に操作される」という非常に危険な状況です。

こうした攻撃を防ぐために必要なのが、CSRFトークンという「正しいユーザーからの送信であることを確認するための鍵」です。これはフォームに隠して埋め込まれ、送信時に一致していなければ処理を拒否する仕組みになっています。

CSRFの仕組みを直感的に理解できる、簡単なイメージ例を用意しました。


# CSRF攻撃のイメージを再現した簡単サンプル
logged_in = True  # あなたがログインしていると仮定

def malicious_page_action():
    if logged_in:
        print("偽のサイトから、あなたの代わりに送信が行われました！")
    else:
        print("ログインしていないため送信できません。")

malicious_page_action()

この例は単純化していますが、実際のCSRF攻撃も「ユーザーがログイン中であること」を悪用し、勝手に操作を実行しようとします。だからこそ、フォームに本人確認のためのCSRFトークンを入れておくことで、不正な送信をしっかり防ぐことができるのです。

2. Flask-WTFとは？CSRF対策の味方！

Flask-WTFは、Flask（フラスク）でフォームを扱うときに便利な機能をまとめて提供してくれる「拡張機能」です。ふつうは、フォームを自分で1から作ろうとすると、入力項目を用意して、値のチェックをして、エラーメッセージを出して……と、やることがたくさんあります。

Flask-WTFを使うと、こうした面倒な処理をフォーム用のクラスとしてひとまとめに管理できます。さらに、CSRFトークンを自動で発行してくれるので、Flaskのフォームにセキュリティ対策（CSRF対策）が最初から組み込まれた状態で使える、というのが大きな特徴です。

イメージとしては、「フォームの設計図」と「安全対策」がセットになった便利ツールだと思ってください。Pythonでクラスを1つ用意するだけで、テキスト入力や送信ボタンに加えて、見えないところでCSRFトークンも扱ってくれるので、プログラミング初心者でも安全なWebフォームを作りやすくなります。

たとえば、次のようなシンプルなフォームクラスを作るだけで、CSRF対策付きのフォームの“土台”が用意できます。


from flask_wtf import FlaskForm
from wtforms import StringField, SubmitField

# Flask-WTF を使った簡単なフォームの例
class ContactForm(FlaskForm):
    name = StringField('お名前')
    submit = SubmitField('送信')

このクラス自体には「CSRF」という言葉は出てきませんが、FlaskFormを継承しているおかげで、CSRFトークンが裏側で自動的に扱われます。あとは、このフォームをビューやテンプレート側から呼び出して表示すれば、「Flaskのフォーム」＋「CSRF対策」を同時に実現できる、という流れになります。まずは「フォームもセキュリティも、Flask-WTFがまとめて助けてくれるんだな」とイメージしてもらえれば十分です。

3. Flask-WTFを使ってCSRF対策を実装する手順

ここからは、実際にFlask-WTFでCSRF対策付きのフォームを作る方法を説明します。

① 必要なパッケージをインストールしよう

まずはコマンドで必要なツールをインストールします。


pip install Flask Flask-WTF

② Flaskアプリの基本設定

次にFlaskアプリの基本となるコードを書きます。CSRF対策には「秘密鍵（Secret Key）」が必要です。


from flask import Flask, render_template_string
from flask_wtf import FlaskForm
from wtforms import StringField, SubmitField
from wtforms.validators import DataRequired

app = Flask(__name__)
app.secret_key = 'これは秘密のキーです！変更して使ってね'

③ フォームのクラスを作る

フォームを作るための「クラス」を定義します。これがFlask-WTFの力です。


class MyForm(FlaskForm):
    name = StringField('名前', validators=[DataRequired()])
    submit = SubmitField('送信')

④ ルーティングとテンプレートを用意する

画面にフォームを表示させるためのルート（URLの処理）を作ります。テンプレートは文字列で書いています。


@app.route('/', methods=['GET', 'POST'])
def index():
    form = MyForm()
    if form.validate_on_submit():
        name = form.name.data
        return f'こんにちは、{name}さん！'
    return render_template_string('''
        <form method="POST">
            {{ form.hidden_tag() }}
            {{ form.name.label }} {{ form.name() }}<br>
            {{ form.submit() }}
        </form>
    ''', form=form)

if __name__ == '__main__':
    app.run(debug=True)

{{ form.hidden_tag() }} という部分が、CSRFトークンを自動でフォームに追加してくれる場所です。

4. CSRFがあるとどれだけ安全になるの？

CSRFトークンがあると、他の悪意あるサイトから勝手にフォームを送信されても、トークンが一致しないため拒否されます。

つまり、「これは本当にあなたが送ったフォームですよね？」と確認する鍵のような役割をしています。

Flask-WTFを使えば、この機能が自動で動くので、初心者の方でも安心してフォームを使えます。

5. CSRF対策をしていないとどうなるの？

CSRF対策をしていないと、次のような危険があります。

誰かが勝手に送信して、あなたの情報を盗む
あなたが意図していない処理が実行される
フォームからの情報が信用できなくなる

パソコンに不慣れな人でも、こうした被害に遭わないように、最初からしっかりと対策を入れておくことがとても大切です。

6. Flask-WTFを使うときのポイント整理

最後に、Flask-WTFでCSRF対策を入れるときのポイントをおさらいしましょう。

Flask-WTFは、フォーム作成＋CSRF対策がセットで便利
app.secret_key を必ず設定する
フォームのテンプレートに {{ form.hidden_tag() }} を入れる

これで、あなたのFlaskアプリも安全になります！

まとめ

Flaskでフォームを扱うときに欠かせない仕組みとして、CSRF対策がどれほど重要なのかを今回あらためて実感できたと思います。とくに、Webアプリケーションが日常のあらゆる場面で使われるようになった現在では、知らないうちに危険な攻撃を受けてしまう可能性は決して珍しいものではありません。そんな中で、Flask-WTFのようにフォームの安全性を確保してくれる仕組みがあるというのは、とても心強いことです。フォームの内部には、見た目だけではわからない多くの情報が含まれています。入力された内容だけでなく、リクエストが正しい利用者から送られたものなのかどうか、という大切な判断材料もそのひとつです。今回学んだCSRFトークンは、まさにその確認のための鍵の役割を果たしています。フォームごとに固有のトークンを持ち、それが一致する場合のみ受け付けるという流れは、単純ながらとても強い防御になります。また、実際にコードを書きながら理解を深めることで、抽象的なセキュリティの話がぐっと身近に感じられるようになったはずです。たとえば、app.secret_key の設定が欠かせない理由や、テンプレートの中で {{ form.hidden_tag() }} が自然にCSRFトークンを埋め込んでくれる仕組みは、実際に動かしてみることで初めて実感できる学びです。これらを踏まえると、フォームの安全性を考えることがアプリの品質にも直結していくことがよくわかります。さらに、今回の内容をきちんと理解しておくことで、ユーザーの大切な情報を守るという意識も自然と育っていきます。フォームは単なる入力欄ではなく、アプリケーションとユーザーをつなぐ重要な入り口であり、そこに信頼できる仕組みを持たせることが結果としてアプリ全体の安心感につながります。こうした基礎の積み重ねが、のちに本格的なサービス構築へ進む際にも活きてくるのです。下記にCSRFトークンを扱う基本的なコードを整理し、もう一度確認できるようにまとめておきました。細かな部分の動きを忘れてしまったときにも、土台となる考え方が一度しっかり身についていれば応用は自然とできるようになります。少しずつ積み重ねながら、安全で扱いやすいフォームを作れるようになっていきましょう。

CSRF対策コードの再確認


from flask import Flask, render_template_string
from flask_wtf import FlaskForm
from wtforms import StringField, SubmitField
from wtforms.validators import DataRequired

app = Flask(__name__)
app.secret_key = '安全を守るための秘密鍵'

class SampleForm(FlaskForm):
    text = StringField('入力欄', validators=[DataRequired()])
    submit = SubmitField('送信')

@app.route('/', methods=['GET', 'POST'])
def index():
    form = SampleForm()
    if form.validate_on_submit():
        return f"送信された値は：{form.text.data}"
    return render_template_string('''
        <form method="POST">
            {{ form.hidden_tag() }}
            {{ form.text.label }} {{ form.text() }}<br>
            {{ form.submit() }}
        </form>
    ''', form=form)

if __name__ == '__main__':
    app.run(debug=True)

とても短いコードですが、フォームの安全性に必要な要素がしっかり組み込まれています。とくに注目したいのは、{{ form.hidden_tag() }} がフォームに自動的にCSRFトークンを追加する点です。これによって外部からの偽造リクエストは拒否され、正しく送信されたリクエストだけが処理されます。安全なアプリケーションづくりの基本として、この流れを自然に理解しておくことが大切です。

先生と生徒の振り返り会話

生徒

「今回の内容を学んで、フォームってただ入力するだけじゃなくて、安全性もすごく大事なんだとわかりました！」

先生

「その通りだよ。フォームは利用者が情報を預ける入り口だから、安全をしっかり守ることが大切なんだ。」

生徒

「特にCSRFトークンが自動で入る仕組みは本当に便利ですね。手動で管理しないといけないと思っていました。」

先生

「Flask-WTFがその部分をうまくサポートしてくれるおかげで、コードを書く側の負担もぐっと減るんだよ。」

生徒

「これを理解しておくと、本格的なWebアプリを作るときにもちゃんと安全性を確保できそうです！」

先生