Next.js · Senior · Frage 7 von 75
Wie schützt Next.js Server Actions vor CSRF?
- 1Gar nicht: CSRF-Schutz liegt ganz beim Entwickler
- 2Es verlangt in jedem Formular ein CSRF-Token, das man von Hand erzeugen muss
- 3Es nimmt nur POST an und vergleicht den Header Origin mit Host
Antwort zeigen
Richtige Antwort: Es nimmt nur POST an und vergleicht den Header Origin mit Host
Erklärung
Server Actions lassen sich nur per POST aufrufen, und Next.js vergleicht Origin mit Host (oder X-Forwarded-Host) und lehnt Requests von anderen Websites ab. Zusammen mit SameSite-Cookies blockiert das die meisten CSRF-Angriffe. Für komplexe Proxy-Setups gibt es serverActions.allowedOrigins. Die Autorisierung prüft man trotzdem in der Action.