Что такое SSRF (Server-Side Request Forgery)?

SSRF (Подделка запросов со стороны сервера) — атака, при которой хакер заставляет ваш сервер сделать HTTP-запрос туда, куда хакеру нужно.

Сценарий:
В приложении есть функция "Загрузить картинку по URL".
Хакер вставляет URL: http://localhost:8080/admin/delete_all или http://169.254.169.254/ (адрес метаданных AWS с секретными ключами).
Ваш сервер послушно делает запрос в свою внутреннюю закрытую сеть (куда у хакера нет доступа снаружи) и возвращает результат хакеру.

✅ Защита: Жесткие белые списки (Allow-list) для URL, запрет запросов на localhost и внутренние IP-адреса.