Tarayıcı güvenlik sınırları
CSRF, XSS ve CSP ilişkisi
Bir güvenlik başlığı bütün tehditleri çözmez.
Kavramı anlayalım
CSRF tarayıcının otomatik gönderdiği kimlik bilgileriyle istenmeyen işlem tetiklenmesidir. SameSite, CSRF token ve Origin/Referer kontrolleri akışa göre birlikte tasarlanır. GET ile state değiştirmemek temel semantik ve güvenlik kuralıdır.
XSS saldırganın sayfa bağlamında script yürütmesidir. Context-aware output encoding, güvenli render ve HTML sanitisation gerekir. CSP izin verilen kaynakları ve script yürütmesini sınırlar; güçlü nonce/hash tabanlı politika yardımcı olabilir ama unsafe-inline ile gevşetilmiş bir etiket aynı korumayı sağlamaz.
CSP önce report-only aşamasında gözlemlenebilir. Hatalı politika gerçek script, API veya font yüklemesini kırabilir; üçüncü tarafları bilinçli sınırla. HttpOnly cookie script okunmasını azaltır ancak script’in kullanıcı adına işlem yapması ayrı risktir. CORS, CSP ve CSRF birbirinin yerine geçen mekanizmalar değildir.
Frontend ve API güvenliğini katmanlı tasarlamak için.
CSP başlığını ekleyip XSS kontrollerini bırakmak.
Aynı konu. Üç farklı derinlik.
State-changing GET: avoidGüvenli method anlamını koru.
Bu sayfa dış sunuculara istek göndermez. HTTP mesajları temsili, HTTP/1.1 biçiminde okunabilir gösterimlerdir; HTTP/2 ve HTTP/3 wire formatı değildir. example.test ayrılmış öğretim alan adıdır. Komut ve JavaScript örneklerini yalnız kendi test ortamında uygula; gerçek token veya cookie yayımlama.
Önce kendin dene.
CORS açıksa CSRF token gereksiz mi?
Çözümü ve açıklamasını göster
Different threat modelsHayır; kimlik taşıma ve state değiştiren akışa göre CSRF savunması değerlendir.