CSRF: почему сервер проверяет происхождение действия

Cookie могут отправляться браузером автоматически в рамках действующих правил. Поэтому наличие сессии не всегда достаточно, чтобы считать изменение намеренным действием пользователя. Защита CSRF использует предусмотренные механизмы проверки запроса и его контекста.

Для приложения полезно отделять чтение от операций изменения и проверять защиту именно на последних. Настройки cookie, токены и проверка происхождения должны соответствовать архитектуре. При тестировании важно рассмотреть прямой запрос без интерфейса и отсутствие необходимых подтверждающих данных.