CSRF

Qué es CSRF (Cross-Site Request Forgery): hacer que un usuario con sesión iniciada actúe sin querer

CSRF hace que el navegador de un usuario con sesión iniciada envíe una acción no deseada, abusando de la costumbre del navegador de adjuntar cookies automáticamente. La defensa real son los tokens CSRF más las cookies SameSite. Nunca uses GET para cambios de estado.