CSRF

O que é CSRF (Cross-Site Request Forgery) — fazer um usuário logado agir sem querer

O CSRF faz o navegador de um usuário logado enviar uma ação não intencional, abusando do hábito do navegador de anexar cookies automaticamente. A defesa de verdade são tokens CSRF mais cookies SameSite. Nunca use GET para mudanças de estado.