CSRF là gì? Checklist bảo vệ thao tác thay đổi dữ liệu

Rủi ro cần xử lý

CSRF có thể khiến trình duyệt gửi yêu cầu ngoài ý muốn tới ứng dụng đang đăng nhập. Cách phòng vệ phụ thuộc cơ chế xác thực và cách ứng dụng gửi request.

Phòng vệ ở ứng dụng

Ưu tiên cơ chế CSRF có sẵn của framework. Với xác thực bằng cookie, kiểm tra token cho thao tác thay đổi dữ liệu; không dùng GET cho hành động thay đổi trạng thái. SameSite là một lớp hỗ trợ, không thay thế mọi biện pháp CSRF. HttpOnly hạn chế JavaScript đọc cookie, không tự giải quyết CSRF.

Với API dùng custom header, phải thực sự kiểm tra header/token phía server và cấu hình CORS chặt chẽ. Xem hướng dẫn phòng chống CSRF của OWASP.

Kiểm tra trước khi phát hành

Trong môi trường thử, kiểm tra request thiếu token, token sai, phiên hết hạn và nguồn không được phép. Đồng thời xác nhận các luồng hợp lệ như đăng nhập và thanh toán vẫn hoạt động. Ghi kỳ vọng và kết quả để tránh hồi quy.

Đọc thêm CSP và giới hạn của chính sách này và checklist bảo mật VPS. Thuê máy chủ không tự động bảo vệ lỗi phân quyền hoặc logic ứng dụng.