Kapatılmış CSRF Koruması (ARCH4125)

Anahtar java.security.disabled-csrf · Önem warning · Kategori security · CWE CWE-352

CSRF korumasının kapatılması, çerez tabanlı oturumlarda saldırganların kurbanın tarayıcısından durum değiştiren istekler tetiklemesine olanak tanır. Tarayıcı tabanlı oturumlar için CSRF korumasını açık bırakın.

Hatalı

@Bean
SecurityFilterChain chain(HttpSecurity http) throws Exception {
    http.csrf(csrf -> csrf.disable()); // CSRF kapalı
    return http.build();
}

Doğru

@Bean
SecurityFilterChain chain(HttpSecurity http) throws Exception {
    http.csrf(csrf -> csrf
        .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()));
    return http.build();
}

Düzeltme

Çerez tabanlı oturum kullanan uygulamalarda CSRF korumasını kapatmak yerine token tabanlı korumayı açık bırakın.