قد يرسل المتصفح بيانات الجلسة تلقائيًا مع طلب لا يعكس نية المستخدم. لذلك تحتاج العمليات التي تغيّر الحالة إلى إثبات إضافي لارتباطها بالتطبيق والسياق المتوقع.
الفكرة الأساسية
استخدم حماية الإطار من CSRF عند توفرها، مع إعدادات ملفات ارتباط مناسبة والتحقق من المصدر حسب التصميم. اجعل GET للقراءة، ولا تنفذ حذفًا أو تعديلًا عبر رابط عادي.
خطوات عملية
- ضمّن رمز الحماية في نماذج وطلبات التعديل.
- ارفض الرمز المفقود أو غير الصحيح في الخادم.
- اختبر انتهاء الجلسة ورسالة الفشل للمستخدم.
مثال تطبيقي
طلب تغيير البريد يحتاج تحققًا من الجلسة والصلاحية ورمز CSRF عندما يعتمد على ملفات الارتباط.
خطأ شائع ينبغي تجنبه
SameSite مفيد لكنه ليس بديلًا مطلقًا لكل آليات الحماية. افهم نطاقات الموقع وتدفقات الدخول قبل اختيار الإعداد.
للتوسع في الموضوع
صور توضيحية: الغلاف من Unsplash، الصورة الداخلية من Unsplash. ترخيص الاستخدام.
