CSRF

인증된 사용자의 권한으로 원치 않는 요청을 보내게 하는 공격

분야: 보안/인증 시리즈: 인증/인가 기본기 securityauthcookie

CSRF(Cross-Site Request Forgery)는 사용자가 로그인된 상태에서, 공격자가 의도한 요청을 “사용자 브라우저로” 보내게 만드는 공격입니다.

왜 생기나요?

브라우저는 같은 사이트로 요청할 때 쿠키를 자동으로 붙입니다. 그래서 서버가 “요청이 진짜 사용자의 의도인지” 추가 검증을 하지 않으면 문제가 됩니다.

대표 방어

  • CSRF 토큰
  • SameSite 쿠키

관련 문서

Cookie
브라우저가 서버에 자동으로 보내는 작은 상태 정보
JWT
서명된 JSON 토큰 형식(JSON Web Token) — 인증에 자주 사용
OAuth 2.0
서드파티 앱이 사용자 리소스에 접근하도록 ‘권한’을 위임하는 프레임워크
세션 (Session)
서버가 유지하는 사용자 로그인 상태(보통 세션 ID로 식별)