CSRF

Как это происходит

Жертва залогинена на bank.com. Она открывает вредоносную страницу, где скрытый <form> автоматически отправляет POST на bank.com/transfer. Браузер добавляет cookie банка — и перевод происходит.

Защита

• CSRF-токен — сервер генерирует уникальный непредсказуемый токен и вкладывает его в скрытое поле формы (<input type="hidden" name="_token" value="...">). При получении формы сервер сверяет токен с тем, что хранится в сессии
• SameSite cookie — атрибут SameSite=Lax/Strict запрещает браузеру отправлять cookie в cross-site запросах. Наиболее эффективная современная защита
• Stateless API с Bearer-токенами в заголовке не уязвимы к CSRF