Apakah itu CSRF dan bagaimana anda mencegahnya?

Question

Accepted Answer

**CSRF (Cross-Site Request Forgery)** memperdaya pelayar pengguna yang log masuk untuk membuat **permintaan yang tidak diingini** ke laman di mana mereka disahkan — melakukan tindakan (pemindahan, perubahan) tanpa persetujuan mereka, mengeksploitasi penghantaran automatik kelayakan/kuki oleh pelayar. ## Bagaimana CSRF berfungsi ```text The attack exploits that browsers AUTO-SEND cookies (incl. session cookies) with requests: 1. a user is LOGGED IN to a site (has a session cookie) 2. the user visits a MALICIOUS page (or clicks a crafted link) 3. that page makes a request to the target site (e.g. a hidden form auto-submitting) 4. the browser AUTOMATICALLY includes the user's session cookie → the site thinks it's a legitimate request from the user → performs the action (transfer money, change email) → the user unknowingly performs an action they didn't intend. ``` ```html ``` ## Pencegahan ```text ✓ CSRF TOKENS → a unique, unpredictable token per session/form that the server verifies; the attacker's site can't know it → the forged request fails (the primary defense) ✓ SameSite COOKIES → SameSite=Lax/Strict → cookies NOT sent on cross-site requests → blocks CSRF (now a strong, default-ish browser defense) ✓ Check Origin/Referer headers; require re-authentication for sensitive actions ✓ Don't use GET for state-changing actions (use POST/PUT/DELETE properly) → Frameworks often provide CSRF protection built in — enable/use it. ``` ## Mengapa ia penting Memahami CSRF dan cara mencegahnya adalah bernilai kerana ia merupakan **kerentanan web yang biasa** yang mengeksploitasi cara pelayar berfungsi, membenarkan penyerang melakukan tindakan sebagai pengguna yang disahkan, jadi ia adalah pengetahuan keselamatan yang penting bagi pembangun web. Memahami **cara CSRF berfungsi** — mengeksploitasi bahawa pelayar **menghantar kuki secara automatik** (termasuk kuki sesi) dengan permintaan, supaya halaman berniat jahat boleh mencetuskan permintaan ke laman di mana pengguna log masuk, dan pelayar menyertakan kuki sesi, menjadikan laman menganggap permintaan palsu itu sah dan melakukan tindakan (pemindahan, perubahan akaun) tanpa persetujuan pengguna — adalah perlu untuk memahami serangan yang halus tetapi berbahaya ini. CSRF berbahaya kerana ia boleh melakukan tindakan sensitif sebagai mangsa tanpa pengetahuan mereka, dan ia adalah kerentanan web yang biasa. Memahami **pencegahan** adalah penting: **token CSRF** (token unik dan tidak boleh diramal bagi setiap sesi/borang yang disahkan oleh pelayan — laman penyerang tidak dapat mengetahuinya, jadi permintaan palsu gagal; pertahanan tradisional utama), **kuki SameSite** (menetapkan SameSite=Lax/Strict supaya kuki tidak dihantar pada permintaan rentas laman, kini pertahanan peringkat pelayar yang kukuh dan semakin menjadi lalai), menyemak pengepala Origin/Referer, memerlukan pengesahan semula untuk tindakan sensitif, dan tidak menggunakan GET untuk operasi yang mengubah keadaan. Memahami bahawa **rangka kerja sering menyediakan perlindungan CSRF terbina dalam** (yang patut didayakan dan digunakan) adalah penting secara praktikal. Gabungan token CSRF dan kuki SameSite menyediakan perlindungan yang kukuh. Memandangkan CSRF ialah kerentanan web yang biasa yang mengeksploitasi tingkah laku pelayar untuk melakukan tindakan yang tidak diingini sebagai pengguna yang disahkan, dan memandangkan memahami cara ia berfungsi dan cara mencegahnya (token CSRF, kuki SameSite, perlindungan rangka kerja) adalah penting bagi pembangun web, memahami CSRF dan pencegahannya ialah pengetahuan keselamatan yang bernilai dan relevan secara praktikal — kerentanan web penting untuk difahami dan dipertahankan, di mana pertahanan (token CSRF dan kuki SameSite) ialah pengetahuan utama untuk melindungi pengguna daripada diperdaya untuk melakukan tindakan yang tidak diingini, kelas serangan yang ketara bagi mana-mana aplikasi web dengan operasi pengubahan keadaan yang disahkan.