CSRF란?

사용자가 로그인된 상태에서 다른 악성 사이트가 대신 요청을 보내도록 속이는 공격이다. 게시글 작성·비밀번호 변경 등이 일어날 수 있다.

방어

  • CSRF 토큰 — 폼마다 랜덤 토큰을 숨겨 넣고 서버 검증
  • SameSite 쿠키 (Strict/Lax) — 외부 사이트에서 쿠키 전송 차단
  • 중요한 작업은 재인증(비밀번호 재입력)
  • HTTP 메서드 규약 준수 (GET은 데이터 변경 금지)