Lỗ hổng Cross-Site Request Forgery (CSRF) là gì và tại sao việc sử dụng SameSite Cookie lại là phương pháp hiệu quả để ngăn chặn?

Question

Accepted Answer

Bản chất lỗ hổng CSRF
Cross-Site Request Forgery (CSRF) là cuộc tấn công mà kẻ tấn công lừa người dùng đã đăng nhập thực hiện các hành động không mong muốn trên một ứng dụng web mà họ đang có phiên làm việc hợp lệ. Kẻ tấn công lợi dụng việc trình duyệt tự động đính kèm Cookie xác thực vào mọi HTTP request gửi đến server đích, bất kể request đó bắt nguồn từ đâu.
Cơ chế hoạt động của SameSite Cookie
Thuộc tính SameSite trong Set-Cookie header cho phép server kiểm soát xem cookie có được gửi kèm trong các Cross-Site request hay không. Có ba giá trị chính:

Strict: Cookie hoàn toàn không được gửi trong bất kỳ cross-site request nào. Bảo mật cao nhất nhưng trải nghiệm người dùng có thể bị ảnh hưởng (ví dụ: click link từ trang ngoài vào sẽ mất trạng thái đăng nhập).
Lax: Giá trị mặc định trên nhiều trình duyệt hiện đại. Cookie được gửi trong các cross-site request an toàn (thường là request phương thức GET như thẻ <a>, nhưng không được gửi trong các request thay đổi dữ liệu như POST, PUT, DELETE từ nguồn ngoài).
None: Cookie được gửi trong mọi trường hợp, bắt buộc phải đi kèm với thuộc tính Secure (chỉ truyền qua HTTPS).

Ví dụ cấu hình Header ở phía Server
Set-Cookie: session_id=xyz123; Secure; HttpOnly; SameSite=Lax
Kinh nghiệm thực tế cho Junior

Mặc dù SameSite=Lax giải quyết phần lớn các bài toán CSRF thông thường, các lập trình viên Enterprise vẫn nên kết hợp cơ chế Anti-CSRF Token (Synchronizer Token Pattern) đối với các API quan trọng thực hiện thay đổi dữ liệu (state-changing requests như chuyển tiền, đổi mật khẩu) để đạt mức bảo mật toàn diện.

Lỗ hổng Cross-Site Request Forgery (CSRF) là gì và tại sao việc sử dụng SameSite Cookie lại là phương pháp hiệu quả để ngăn chặn?

Bản chất lỗ hổng CSRF

Làm Chủ Phỏng Vấn & Nâng Cao Trình Độ Chuyên Nghiệp

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi web security liên quan cùng chủ đề