Как защитить приложение от CSRF (Cross-Site Request Forgery) атак?

CSRF (Подделка межсайтовых запросов) — атака, при которой хакер заставляет браузер авторизованного юзера отправить скрытый запрос на уязвимый сайт (например, перевод денег).

Методы защиты:
1. Anti-CSRF токены: Сервер генерирует уникальный токен и вставляет его в скрытое поле HTML-формы. Хакер на своем сайте не знает этот токен, и его запрос будет отклонен.
2. SameSite Cookie: Установка атрибута SameSite=Lax или Strict для кук сессии. Браузер просто не прикрепит куки, если запрос идет со стороннего домена.
3. Использование JWT в заголовках: Если токен передается в Authorization: Bearer, а не в куках, CSRF невозможен.