Proteção contra CSRF em ações de formulários
Entenda como o SvelteKit impede a falsificação de solicitações entre sites em ações de formulários.
Proteção contra CSRF em ações de formulários é uma aula grátis de Sveltejs Academy no CoddyKit. Esta é a aula 1 de 4. Você pode ler a aula completa abaixo gratuitamente — depois pratica ao vivo no navegador com um editor de código integrado e um tutor de IA 24/7. Faz parte do caminho de aprendizado de Sveltejs Academy, e seu progresso é sincronizado entre a web e o app CoddyKit. O curso de Sveltejs Academy inclui 4 aulas no total.
O que é CSRF
A falsificação de requisições entre sites engana o navegador de um usuário autenticado para que envie uma requisição forjada ao seu site.
Padrão do SvelteKit
As ações de formulário do SvelteKit bloqueiam por padrão requisições de origens diferentes, reduzindo o risco de CSRF.
Como funciona
O SvelteKit verifica o cabeçalho Origin em relação ao servidor para métodos que alteram o estado.
Cookies SameSite
Defina sameSite: "lax" nos cookies como uma medida adicional de defesa.
Desative com cuidado
Você pode desativar a proteção contra CSRF por meio de csrf: { checkOrigin: false } em svelte.config.js. Isso quase nunca é recomendado.
Envios de formulários externos
Se você precisar aceitar envios de origem cruzada, use tokens de API.
Teste CSRF
Tente enviar dados ao seu formulário a partir de uma origem não relacionada (por exemplo, o JSFiddle) — o SvelteKit deverá rejeitar a solicitação.
Métodos GET
As solicitações GET não são protegidas contra CSRF por padrão; nunca use GET para alterar o estado.
Defesas combinadas
Combine cookies SameSite, verificações de Origin e tokens de autenticação para obter uma segurança em camadas.
Erros comuns
Armazenar JWTs em localStorage e lê-los com fetch anula a proteção SameSite.
Trilha de auditoria
Registre tentativas suspeitas de origem cruzada para detectar ataques logo no início.
Verificação rápida
O que o SvelteKit verifica por padrão para oferecer proteção contra CSRF?
Recapitulação
O SvelteKit bloqueia envios POST de origem cruzada por padrão. Combine essa proteção com cookies SameSite e nunca a desative sem muita cautela.
Perguntas Frequentes
A aula “Proteção contra CSRF em ações de formulários” é grátis?
Sim — o texto completo de “Proteção contra CSRF em ações de formulários” é grátis para ler aqui na web. Para praticá-la interativamente (um editor de código integrado e um tutor de IA 24/7) e desbloquear o restante do curso de Sveltejs Academy, atualize para CoddyKit PRO. O curso de Sveltejs Academy inclui 4 aulas no total.
O que vou aprender em “Proteção contra CSRF em ações de formulários”?
Entenda como o SvelteKit impede a falsificação de solicitações entre sites em ações de formulários. Você pratica Sveltejs Academy com código prático que executa diretamente no navegador, e um tutor de IA 24/7 responde suas dúvidas enquanto trabalha na aula.
Preciso ter experiência prévia para começar Sveltejs Academy?
Nenhuma experiência prévia é necessária. Sveltejs Academy no CoddyKit é estruturado para alunos iniciantes até avançados, então você pode começar aqui ou desde o início e aprender no seu ritmo. Esta é a aula 1 de 4.
Quanto tempo leva a aula “Proteção contra CSRF em ações de formulários”?
A maioria das aulas CoddyKit leva cerca de 5–10 minutos. Cada uma é compacta e interativa, então você faz progresso constante e retoma exatamente de onde parou entre web e app.
Posso escrever e executar código nesta aula de Sveltejs Academy?
Sim. Cada aula de Sveltejs Academy inclui um editor de código integrado, então você escreve e executa código real direto no navegador e recebe feedback de IA instantaneamente — nenhuma configuração local necessária.
Todas as aulas deste curso
- Proteção contra CSRF em ações de formulários
- Prevenção de XSS em {#html}
- Variáveis de ambiente: $env/static e $env/dynamic
- Limitação de taxa com hooks