Защита от CSRF атак через дополнительный токен в формах

Что такое атака CSRF

CSRF (англ. cross-site request forgery — «межсайтовая подделка запроса», также известна как XSRF) — вид атак на посетителей веб-сайтов, использующий недостатки протокола HTTP. Если жертва заходит на сайт, созданный злоумышленником, от её лица тайно отправляется запрос на другой сервер (например, на сервер платёжной системы), осуществляющий некую вредоносную операцию (например, перевод денег на счёт злоумышленника). Для осуществления данной атаки жертва должна быть аутентифицирована на том сервере, на который отправляется запрос, и этот запрос не должен требовать какого-либо подтверждения со стороны пользователя, которое не может быть проигнорировано или подделано атакующим скриптом.

Подробности - https://ru.wikipedia.org/wiki/%D0%9C%D0%B5%D0%B6%D1%81%D0%B0%D0%B9%D1%82%D0%BE%D0%B2%D0%B0%D1%8F_%D0%BF%D0%BE%D0%B4%D0%B4%D0%B5%D0%BB%D0%BA%D0%B0_%D0%B7%D0%B0%D0%BF%D1%80%D0%BE%D1%81%D0%B0

Как настроить в формах

Если указать в форме дополнительный столбец csrftoken типа hidden, то система будет подставлять в него определенное значение в GetItem и проверять его в SaveItem.

Элемент хранится в кеше какое-то время (количество минут в настройке csrftokenLifeTime, по умолчанию 15 минут).

Подобная форма позволит выполнить действие только в случае, если форма была подготовлена сервером (а не злоумышленником) и совсем недавно.