Devre dışı CSRF (ARCH5125)

Anahtar go.security.disabled-csrf · Önem warning · Kategori security · CWE CWE-352

csrf.UnsafeSkipCheck (gorilla/csrf) ile nosurf.ExemptPath ve benzerleri bir istek ya da yol için CSRF doğrulamasını kapatır; csrf.Secure(false) CSRF çerezini düz HTTP üzerinden gönderir. Çerezle kimliklenen durum değiştiren uç noktalar korumasız kalır.

Hatalı

func mw(next http.Handler) http.Handler {
  n := nosurf.New(next)
  n.ExemptPath("/api")
  return n
}

Doğru

func mw(next http.Handler) http.Handler {
  return csrf.Protect(key, csrf.Secure(true))(next)
}

Düzeltme

Çerezle kimliklenen her rotada CSRF korumasını açık tutun; yalnızca durumsuz, token ile kimliklenen uç noktaları tek tek muaf tutun.