Falsificação de Requisição entre Sites (CSRF)
Vulnerabilidade web que induz um usuário autenticado a executar ações não intencionais em uma aplicação confiável durante sua sessão ativa.
Entity Relationships (GEO Conceptual Hierarchy)
Taxonomy ModelTechnical Explanation & Operational Mechanics
O ataque CSRF explora o envio automático de cookies de sessão pelo navegador em requisições de origens externas. As defesas incluem cookies com atributo SameSite, tokens anti-CSRF e validação de cabeçalhos de origem.
Technical Example & Practical Implementation
Verificação de integridade em requisições de alteração de estado no servidor.
<!-- Attacker's malicious site (evil.com) triggers transfer on bank.com -->
<form id="csrfForm" action="https://bank.com/api/transfer" method="POST">
<input type="hidden" name="toAccount" value="999888777" />
<input type="hidden" name="amount" value="5000" />
</form>
<script>document.getElementById('csrfForm').submit();</script>
<!-- Server-side Mitigation 1: Hardened Cookie Attributes -->
Set-Cookie: sessionId=xyz123; Secure; HttpOnly; SameSite=Lax
<!-- Server-side Mitigation 2: Anti-CSRF Synchronizer Token -->
<input type="hidden" name="_csrf" value="dGhpcy1pcy1hLXNlY3VyZS10b2tlbg==" />Related Topic Ecosystem & Next Steps
Artigos Técnicos Relacionados
What Is Content Security Policy (CSP)?
Direct definition and directive breakdown of browser-enforced resource restrictions.
What Is Cross-Site Scripting (XSS)?
Detailed analysis of Stored, Reflected, and DOM-based script injection vulnerabilities.
Troubleshooting: Content Security Policy Blocks JavaScript
Resolve Refused to execute inline script errors using nonces and hashes.
Laboratórios Práticos de Diagnóstico
Especificações e Referências para Desenvolvedores
Continuar Aprendendo
Content Security Policy (CSP) Hands-On Lab
Step into the interactive lab to defend a vulnerable DOM application with strict CSP nonces.