Что такое CSRF-атака и как от неё защищаться?

CSRF заставляет браузер пользователя выполнить нежелательное действие с автоматически прикрепляемыми учётными данными, например session cookie. Защита должна проверяться сервером.

Для изменяющих состояние запросов используйте CSRF-токены, проверку Origin и подходящий SameSite как дополнительный барьер. Не выполняйте изменения через GET. CORS сам по себе не предотвращает все формы CSRF, а XSS может обходить многие защиты. Токены не передают в URL и логах; проверяют их связь с сессией и доверенными источниками запроса.

Источник: cheatsheetseries.owasp.org.