クロスサイトリクエストフォージェリ（CSRF）は、ログイン中のユーザを罠サイトに誘導し、本人の意思と無関係に元サイトへの操作リクエストを送らせる攻撃です。
| 段階 | 内容 |
|---|---|
| 前提 | ユーザが対象サイトにログイン中 |
| 誘導 | 罠サイト・罠メールへ誘導 |
| 実行 | 本人になりすました操作が送信される |
たとえばログイン中のユーザが罠ページを開くと、裏で「送金」や「パスワード変更」のリクエストが本人の権限で送られてしまいます。対策は CSRF トークン・SameSite Cookie・Referer チェックです。
試験では CSRF が「ログイン中のユーザに意図しない操作を送らせる攻撃」で、CSRF トークンが対策である点、XSSとの違いが問われます。
