CSRF

Як це відбувається

Жертва залогінена на bank.com. Вона відкриває шкідливу сторінку, де прихований <form> автоматично надсилає POST на bank.com/transfer. Браузер додає cookie банку — і переказ відбувається.

Захист

• CSRF-токен — сервер генерує унікальний непередбачуваний токен і вкладає його в приховане поле форми (<input type="hidden" name="_token" value="...">). При отриманні форми сервер звіряє токен з тим, що зберігається в сесії
• SameSite cookie — атрибут SameSite=Lax/Strict забороняє браузеру надсилати cookie в cross-site запитах. Найефективніший сучасний захист
• Stateless API з Bearer-токенами у заголовку не вразливі до CSRF