Защита от CSRF

Как работает Защита от CSRF

Механизм строится на проверке происхождения запроса и наличии уникального маркера, известного только легитимному клиенту и серверу. Когда Пользователь входит в систему, Сервер создает новую сессию и генерирует Случайный Токен, сохраняя его копию на стороне бэкенда. Этот маркер внедряется в HTML-форму как скрытое поле или передается в заголовке AJAX-запроса. При отправке данных Сервер сравнивает полученный Токен с сохраненным значением сессии; если они не совпадают или отсутствуют, запрос блокируется. Такой подход гарантирует, что действие было инициировано пользователем, находящимся на доверенном сайте, а не сторонним скриптом.

Зачем нужен Защита от CSRF

Необходимость обусловлена архитектурной особенностью HTTP: браузеры автоматически прикрепляют Cookies авторизации к любому запросу, независимо от источника. Злоумышленник может разместить на своем ресурсе форму или изображение, которое при открытии у жертвы отправит POST-запрос на целевой Сайт с действием «перевести деньги» или «сменить Пароль». Без механизма верификации Сервер воспринимает такой запрос как легитимный, так как он содержит валидные учетные данные. Для маркетинговых платформ это означает прямую угрозу финансовым потерям, утечке персональных данных клиентов и репутационным рискам, поскольку пользователи теряют доверие к безопасности сервиса.

Существует несколько подходов к реализации защиты, которые часто комбинируются для повышения надежности. Синхронизатор токенов считается золотым стандартом: сервер генерирует уникальный ключ для каждой формы, исключая возможность предсказания значения. Метод двойной отправки cookie предполагает хранение токена одновременно в файле cookie и в теле запроса, где сервер сверяет их идентичность. Проверка заголовков Origin и Referer позволяет отклонять запросы, пришедшие с чужих доменов, хотя этот метод менее надежен из-за возможности их подделки или отсутствия в некоторых браузерах. Использование атрибута SameSite для Cookies ограничивает их отправку при кросс-доменных запросах, создавая дополнительный Уровень изоляции.

Где используется Защита от CSRF

Применяется во всех Веб-приложениях, где требуется Аутентификация и изменение состояния данных. В сфере интернет-маркетинга это критически важно для платежных систем, форм оформления заказов, административных панелей рекламных кабинетов и CRM-инструментов. Защита обязательна для API-интерфейсов, использующих cookie-аутентификацию, чтобы предотвратить несанкционированные вызовы методов обновления профиля или отправки рассылок. Также она применяется в социальных сетях и форумах для блокировки Спам-публикаций, инициированных от имени другого пользователя. Любая форма обратной связи, голосование или изменение настроек уведомлений требует внедрения соответствующих механизмов верификации.

Ниже приведен пример реализации синхронизатора токенов на уровне HTML-формы и обработки запроса на стороне сервера. Токен генерируется при рендеринге страницы и должен быть включен в каждое действие, изменяющее данные. На сервере происходит сравнение полученного значения с тем, что хранится в текущей сессии пользователя.

<form action="/process-payment" method="POST">
  <input type="hidden" name="csrf_token" value="<%= csrfToken %>" />
  <input type="text" name="amount" />
  <button type="submit">Оплатить</button>
</form>

const verifyCsrf = (req, res) => {
  const tokenFromForm = req.body.csrf_token;
  const tokenFromSession = req.session.csrfToken;
  
  if (tokenFromForm !== tokenFromSession) {
    return res.status(403).send('CSRF validation failed');
  }
  
  // Запрос валиден, продолжаем обработку
  res.json({ success: true });
};