При каких механизмах авторизации существует опасность CSRF атаки?

CSRF (Cross-Site Request Forgery) — это атака, при которой злоумышленник заставляет браузер жертвы выполнять нежелательные запросы к доверенному сайту. Уязвимы механизмы, где:

1. Куки сессии — браузер автоматически прикрепляет их к каждому запросу.

2. Basic Auth — если логин/пароль кэшируются браузером.

3. Автоматические токены — например, в hidden-полях форм без дополнительных проверок.

Как защититься:

• Использовать CSRF-токены (генерируются сервером и проверяются для каждого POST/PUT/DELETE).

• Задавать кукам атрибут SameSite=Strict или Lax.

• Для API применять OAuth 2.0 с Proof Key for Code Exchange (PKCE).

Пример CSRF-токена в форме:

<form action="/transfer" method="POST">
	<input type="hidden" name="csrf_token" value="случайная_строка_от_сервера">
	<input type="text" name="amount">
</form>