Cross-Site-Request-Forgery (CSRF)
Sicherheitslücke in Webanwendungen, bei der ein authentifizierter Nutzer unbemerkt Aktionen auf einer vertrauenswürdigen Website ausführt.
Entity Relationships (GEO Conceptual Hierarchy)
Taxonomy ModelTechnical Explanation & Operational Mechanics
CSRF nutzt aus, dass Browser Sitzungscookies bei formularbasierten Cross-Origin-Anfragen automatisch mitsenden. Zuverlässige Schutzmaßnahmen sind SameSite-Cookies, kryptografische Anti-CSRF-Token und strenge Header-Prüfungen.
Technical Example & Practical Implementation
Validierung zustandsändernder HTTP-POST-Anfragen gegen das Sitzungstoken.
<!-- Attacker's malicious site (evil.com) triggers transfer on bank.com -->
<form id="csrfForm" action="https://bank.com/api/transfer" method="POST">
<input type="hidden" name="toAccount" value="999888777" />
<input type="hidden" name="amount" value="5000" />
</form>
<script>document.getElementById('csrfForm').submit();</script>
<!-- Server-side Mitigation 1: Hardened Cookie Attributes -->
Set-Cookie: sessionId=xyz123; Secure; HttpOnly; SameSite=Lax
<!-- Server-side Mitigation 2: Anti-CSRF Synchronizer Token -->
<input type="hidden" name="_csrf" value="dGhpcy1pcy1hLXNlY3VyZS10b2tlbg==" />Related Topic Ecosystem & Next Steps
Verwandte Fachartikel
What Is Content Security Policy (CSP)?
Direct definition and directive breakdown of browser-enforced resource restrictions.
What Is Cross-Site Scripting (XSS)?
Detailed analysis of Stored, Reflected, and DOM-based script injection vulnerabilities.
Troubleshooting: Content Security Policy Blocks JavaScript
Resolve Refused to execute inline script errors using nonces and hashes.
Praxis-Diagnoselabore
Entwickler-Spezifikationen & Referenzen
Weiterlernen
Content Security Policy (CSP) Hands-On Lab
Step into the interactive lab to defend a vulnerable DOM application with strict CSP nonces.