Foundationপ্রথম নীতি থেকে
LEVEL 10 · Computer Security

CSRF

সিএসআরএফ

Cross-Site Request Forgery — browser অজান্তেই victim-এর valid cookie সহ অন্য site-এ trigger হওয়া request পাঠায়, server সেটা legitimate ভাবে।

also: cross-site-request-forgery, xsrf

victim bank.com-এ logged in (cookie আছে)
victim attacker.com খুলল — auto-submit form → POST bank.com/transfer
browser dutifully cookie attach করে → server "authenticated" request ভাবে
  • সমস্যাটা server-এর ভুল ধারণা: valid cookie মানেই request-টা user নিজে ইচ্ছাকৃতভাবে পাঠিয়েছে — কিন্তু browser যেকোনো cross-site request-এ cookie জুড়ে দেয়
  • Fix: CSRF token (attacker-এর page same-origin policy-র কারণে পড়তে পারে না) + SameSite cookie attribute (browser-level — cross-site request-এ cookie আটকায়)
  • দুইটা layer complementary — token app-level defense, SameSite browser-level backstop