CSRF (크로스사이트 요청 위조)

취약한 코드 (javascript)

// 취약한 코드 - CSRF 토큰 없이 상태 변경 API
app.post('/api/transfer', (req, res) => {
  const { amount, target } = req.body;
  // 세션 쿠키만으로 인증 - CSRF 공격에 취약
  transferMoney(req.session.userId, target, amount);
});

안전한 코드 (javascript)

// 안전한 코드 - CSRF 토큰 검증 + SameSite 쿠키
app.post('/api/transfer', csrfProtection, (req, res) => {
  // csrfProtection 미들웨어가 토큰 검증
  const { amount, target } = req.body;
  transferMoney(req.session.userId, target, amount);
});

// 쿠키 설정
res.cookie('sessionId', token, {
  httpOnly: true,
  sameSite: 'Strict',   // CSRF 방어
  secure: true
});