Веб и безопасность приложений · проверено по источникам

Токен CSRF

Токен CSRF — секретное непредсказуемое значение, которое приложение выдаёт доверенному интерфейсу и проверяет в запросе на изменение.

Также ищут: CSRF token · anti-CSRF token · synchronizer token · токен намерения запроса

Практический смысл

Почему это важно

Страница злоумышленника может вызвать запрос, но не должна знать правильное значение, связанное с сеансом жертвы или подписанным контекстом.

Доказательная часть

Что подтверждено

Синхронизирующий токен должен быть уникальным для сеанса, секретным и непредсказуемым и проверяться сервером до изменения состояния.
Граница применимости: Схема токена CSRF с серверным состоянием.
Токен не передают в URL и не полагаются на обычную автоматически отправляемую cookie; вариант двойной отправки связывают с сеансом и подписывают.
Граница применимости: Передача и привязка токена CSRF.

Перед спецификацией

Что проверить

Генерируйте значение через CSPRNG.
Свяжите его с сеансом.
Не записывайте токен в URL или журналы.

Открытые основания

Первоисточники

Официальная документация
Cross-Site Request Forgery Prevention Cheat Sheet
OWASP Foundation · OWASP Cheat Sheet Series, checked 30 August 2026
Разводит CSRF tokens, SameSite и origin checks и задаёт свойства synchronizer и signed double-submit tokens.
Открыть первоисточник

Delect.ru — информационный справочник: сведения о ценах, наличии и брендах формируются из данных витрины для анализа и сравнения. Наличие по данным витрины лучше дополнительно уточнять у выбранного поставщика; перед закупкой обязательно ставьте резервы. Сервис не является посредником при сделке и не сторона договора; коммерческие условия согласуются напрямую с выбранным дистрибьютором. Обозначения брендов приводятся для идентификации предложений.