CSRF (Cross-Site Request Forgery) exploatează încrederea pe care o aplicație web o acordă navigatorului unui utilizator deja autentificat. Dacă o aplicație se bazează exclusiv pe cookie-uri transmise automat pentru autentificarea cererilor POST/PUT, un site rău-intenționat poate trimite cereri forțate în numele victimei.
Mecanisme de protecție obligatorii
- Atributul
SameSite=StrictsauSameSite=Laxpe toate cookie-urile de sesiune. - Tokenuri anti-CSRF unice sincronizate (Synchronizer Token Pattern) validate la orice cerere cu efecte secundare (POST, PUT, DELETE).
Exemplu: Setarea corectă a cookie-ului de sesiune împotriva CSRF
Set-Cookie: session_id=abc123xyz; Secure; HttpOnly; SameSite=Strict; Path=/
Întrebări & Exemple de Cod:
Vulnerabilitatea Cross-Site Request Forgery (CSRF)Ai o nelămurire despre utilizarea comenzii
Vulnerabilitatea Cross-Site Request Forgery (CSRF)sau ai descoperit un truc / fragment de cod util? Distribuie-l cu ceilalți programatori!Fii primul care pune o întrebare sau distribuie un fragment de cod / prompt!
Nu au fost adăugate încă întrebări sau exemple de cod pentru această pagină. Dacă ai întâlnit o problemă sau ai un snippet util, adaugă-l mai jos pentru a-i ajuta pe ceilalți.