Anti-CSRF
Anti-CSRF ist eine Sammlung von Maßnahmen gegen Cross-Site-Request-Forgery, inklusive CSRF-Tokens, SameSite-Cookies und Origin/Referer-Prüfung.
Zweck
Verteidigt umfassend gegen CSRF-Angriffe und stellt sicher, dass zustandsändernde Anfragen von einer legitimen Quelle stammen.
Mechanismus
CSRF-Token (Synchronizer-Pattern), SameSite=Strict/Lax-Cookie (Browser sendet nicht cross-site), Origin/Referer-Header-Verifikation. Double-Submit-Cookie ist eine Variante.
Anwendungsfälle
- Umfassende CSRF-Abwehr
- Web-Sicherheit-Baseline
- Sitzungsschutz