CSRF: что это
Коротко
CSRF: cross-Site Request Forgery: чужой сайт заставляет браузер отправить запрос к вашему сайту, и браузер сам прикладывает куки пользователя. Защита: SameSite у кук, CSRF-токен, проверка Origin, никаких изменений через GET.
Определение
Cross-Site Request Forgery: чужой сайт заставляет браузер отправить запрос к вашему сайту, и браузер сам прикладывает куки пользователя. Защита: SameSite у кук, CSRF-токен, проверка Origin, никаких изменений через GET.
Подробнее
Атакующий ответ не читает, ему важен сам факт выполнения действия.
Из урока «Безопасность фронтенда: XSS, CSRF, CSP»
Фронтенд-разработчика на собесе почти всегда спрашивают про XSS, CSRF и CORS. CSRF-токен: случайное значение в форме или заголовке, которое сервер сверяет с сессией. Если токен лежит в localStorage и отправляется в Authorization, CSRF не страшен (браузер сам его не приложит), зато XSS сразу его украдёт.
Читать урок целикомВопросы по теме с собеседований
Запомните, а не прочитайте
В тренажёре карточка вернётся, когда начнёт забываться. А билеты по Браузер и DOM проверят, что термин понятен в деле.