Есть ли смысл в csrf токене при использовании samesite cookie?

Question

[alestro]

Собственно вопрос в названии, а именно нужна ли дополнительная защита от csrf при использовании samesite кук?

Comments

[egor_nullptr]

Смысл есть, так как браузер пользователя может вести себя не так, как вы ожидаете, и игнорировать samesite.

Answer 1

[Ипатьев]

Нет, не нужна, но надо помнить, что samesite=laх не защищает от поддельных GET запросов.
Хотя конечно в первую очередь GET запросы не должны использоваться для изменения состояния сервера
Хотя вот коллеги поправляют, что ещё зависит от браузера, поддерживает ли он этот стандарт.

Comments

[alestro]

Ну так samesite кука просто не будет отправлена вместе с кросдоменным запросом. Насколько я понимаю в этом и есть смысл simesite.

[Ипатьев]

Вы правы, у меня same site ассоциировался с отправкой кук на сторонние сайты.
Я отредактирую ответ

[Сергей delphinpro]

надо помнить, что samesite=laх не защищает от поддельных GET запросов.

Он вообще ни отчего не защищает. Есть стандарты, которым следуют. А есть браузеры (в теории) которые положат на стандарты.
Доверять нельзя никому.