CSRF Korumasının Kapatılması (ARCH7125)

Anahtar php.security.disabled-csrf · Önem warning · Kategori security · CWE CWE-352

Durum değiştiren bir uç noktada CSRF korumasını kapatmak, saldırganın kurbanın oturumunu kullanarak sahte istekler göndermesine olanak tanır.

Hatalı

<?php
// Laravel: rota CSRF middleware'inden hariç tutuluyor
protected $except = [
    'account/transfer', // tüm transferler korumasız
];

Doğru

<?php
// Form CSRF token içerir, middleware doğrular
Route::post('/account/transfer', [TransferController::class, 'store'])
    ->middleware('web'); // VerifyCsrfToken aktif

Düzeltme

CSRF korumasını durum değiştiren tüm rotalarda aktif bırakın; gerçek API uçları için token yerine stateless kimlik doğrulama (Bearer) kullanın.