교차 사이트 요청 위조 (CSRF: Cross-Site Request Forgery)이란? 정의, 문법 및 개발자 참조 가이드

Entity Relationships (GEO Conceptual Hierarchy)

Taxonomy Model

Relational Knowledge Graph Sequence

CSRF→

SameSite 쿠키→

CSRF 토큰→

웹 보안→

OWASP Top 10

CSRF

•>SameSite 쿠키

•>CSRF 토큰

•>웹 보안

•>OWASP Top 10

Technical Explanation & Operational Mechanics

CSRF는 브라우저가 다른 사이트에서 발생하는 요청에도 인증 쿠키를 자동으로 포함하여 전송하는 특성을 악용합니다. 방어 기법으로는 쿠키의 SameSite 속성 지정, 무작위 CSRF 토큰 검증, 커스텀 헤더 요구 등이 있습니다.

Technical Example & Practical Implementation

CSRF 토큰 동기화 검증 패턴

상태 변경 요청 처리 시 세션 바인딩 토큰의 일치 여부를 판별하는 구조

<!-- Attacker's malicious site (evil.com) triggers transfer on bank.com -->
<form id="csrfForm" action="https://bank.com/api/transfer" method="POST">
  <input type="hidden" name="toAccount" value="999888777" />
  <input type="hidden" name="amount" value="5000" />
</form>
<script>document.getElementById('csrfForm').submit();</script>

<!-- Server-side Mitigation 1: Hardened Cookie Attributes -->
Set-Cookie: sessionId=xyz123; Secure; HttpOnly; SameSite=Lax

<!-- Server-side Mitigation 2: Anti-CSRF Synchronizer Token -->
<input type="hidden" name="_csrf" value="dGhpcy1pcy1hLXNlY3VyZS10b2tlbg==" />