Next.js · Senior · Pytanie 7 z 75
Jak Next.js chroni Server Actions przed CSRF?
- ✓Poprawna odpowiedź: Przyjmuje tylko POST i porównuje nagłówek Origin z Host
- 2Wymaga tokena CSRF w każdym formularzu, który trzeba wygenerować ręcznie
- 3Nie chroni: ochrona przed CSRF jest całkowicie po stronie dewelopera
Wyjaśnienie
Server Actions można wywołać tylko metodą POST, a Next.js porównuje Origin z Host (lub X-Forwarded-Host), odrzucając żądania z innych stron. Razem z ciasteczkami SameSite blokuje to większość ataków CSRF. Dla złożonych konfiguracji proxy jest serverActions.allowedOrigins. Autoryzację i tak sprawdza się wewnątrz akcji.