CSRF（Cross-Site Request Forgery、クロスサイトリクエストフォージェリ）は、ログイン中のユーザを罠ページに誘導し、本人の意思に関係なく元サイトへの操作リクエストを送らせる攻撃です。
| 観点 | CSRF | XSS |
|---|---|---|
| 実行される場所 | 元サイトのサーバ | 訪問者のブラウザ |
| 主な被害 | 送金・購入など意図しない操作 | セッション窃取・偽フォーム |
| 主な対策 | CSRF トークン・SameSite Cookie | 出力エスケープ・CSP |
たとえばログイン中のユーザが罠リンクを踏むと、本人の権限で勝手に送金リクエストが送られます。名前が似た XSS とは別問題で、対策方法も異なります。
試験では CSRF と XSS の違い（実行場所・対策）を取り違えない点が頻出です。CSRF の対策は CSRF トークンです。
