الحماية من CSRF في إجراءات النماذج

تعمل تزوير الطلبات عبر المواقع على خداع متصفح مستخدم موثَّق لإرسال طلب مزوَّر إلى موقعك.

تحظر إجراءات نماذج SvelteKit الطلبات الواردة من مصادر خارجية افتراضيًا، مما يخفف من CSRF.

يتحقق SvelteKit من ترويسة Origin مقابل المضيف عند استخدام الطرق التي تغيّر الحالة.

اضبط sameSite: "lax" في ملفات تعريف الارتباط كإجراء دفاعي إضافي.

يمكنك تعطيل حماية CSRF عبر csrf: { checkOrigin: false } في svelte.config.js. ولا يُنصح بذلك تقريبًا في أي حالة.

إذا كان لا بد من قبول عمليات الإرسال من مصادر مختلفة، فاستخدم رموز API بدلًا من ذلك.

حاول إرسال البيانات إلى نموذجك من مصدر غير مرتبط، مثل JSFiddle — من المفترض أن يرفض SvelteKit ذلك.

لا تكون طلبات GET محمية من CSRF تلقائيًا؛ لذلك لا تستخدم GET مطلقًا لإجراء تغييرات في الحالة.

اجمع بين ملفات تعريف الارتباط SameSite، وعمليات التحقق من Origin، ورموز المصادقة لتوفير أمان متعدد الطبقات.

يؤدي تخزين JWTs في localStorage وقراءتها في fetch إلى إبطال الحماية التي يوفرها SameSite.

سجّل المحاولات المشبوهة القادمة من مصادر مختلفة لاكتشاف الهجمات مبكرًا.

ما الذي يتحقق منه SvelteKit تلقائيًا لحماية CSRF؟

يحظر SvelteKit طلبات POST القادمة من مصادر مختلفة تلقائيًا. اجمع ذلك مع ملفات تعريف الارتباط SameSite، ولا تعطل الحماية باستخفاف.