CSRF Token
Ein CSRF-Token ist ein unvorhersehbarer Zufallswert, den der Server erzeugt und an die Sitzung bindet; er wird in Formularen/Request-Headern eingebettet, um die Rechtmäßigkeit des Request-Ursprungs zu prüfen.
Zweck
Schützt vor Cross-Site-Request-Forgery, indem sichergestellt wird, dass Requests von einer legitimen Seite und nicht von einer bösartigen Website stammen.
Mechanismus
Der Server erzeugt ein zufälliges Session-Token und bettet es in ein verstecktes Formularfeld oder einen Custom-Header ein. Bei der Übermittlung vergleicht der Server das Token und lehnt bei Nichtübereinstimmung ab. SameSite-Cookies bieten zusätzlichen Schutz.
Anwendungsfälle
- CSRF-Schutz für Formulare
- CSRF-Schutz für APIs
- Sitzungssicherheit