Tujuan Pembelajaran

Memahami cara kerja CSRF
Bisa mengimplementasikan proteksi CSRF

Analogi

Diagram


      CSRF = Penipuan dengan Surat Palsu:

[Penjahat] → Kirim surat ke bank: 'Transfer 10jt ke rekening X'
     ↓ (dengan tanda tangan asli kamu!)
[Bank] → 'Tanda tangan valid' → Transfer!

CSRF — attacker memaksa user melakukan aksi tidak diinginkan

Penjelasan Konsep

CSRF

CSRF adalah serangan di mana attacker memaksa user yang sudah login melakukan aksi tidak diinginkan di website.

Cara kerja CSRF

User login ke bank.com (cookie tersimpan).
User buka website jahat di tab lain.
Website jahat kirim form ke bank.com/transfer.
Browser otomatis kirim cookie bank.com.
Bank.com terima request dengan cookie valid → transfer uang!

User tidak tahu apa-apa — transfer terjadi di background.

Pencegahan CSRF

CSRF Token — Token random yang harus disertakan di setiap form.
SameSite Cookie — Cookie hanya dikirim ke domain yang sama.
Referer Header Check — Cek asal request.

Inti yang Perlu Dipahami

Bagian ini berfokus pada memahami cara kerja CSRF., dan bisa mengimplementasikan proteksi CSRF. Jangan terburu-buru menghafal istilahnya. Lebih penting untuk memahami peran setiap konsep dan kapan konsep itu muncul dalam pekerjaan web development.

Saat membaca CSRF, gunakan tujuan belajar sebagai penanda arah. Kalau kamu sudah bisa menjelaskan tujuan itu dengan kata-katamu sendiri, berarti fondasinya mulai terbentuk.

Cara Membayangkannya

CSRF — attacker memaksa user melakukan aksi tidak diinginkan. Analogi ini dipakai supaya konsep teknis tidak terasa melayang. Hubungkan setiap istilah dengan perannya: siapa yang meminta, siapa yang memproses, data apa yang berpindah, dan hasil apa yang diharapkan.

Kalau analoginya sudah terasa masuk akal, barulah lihat istilah teknisnya. Cara ini membuat materi lebih mudah dipahami daripada langsung menghafal definisi.

Saat Melihat Contoh Kode

Contoh kode pada chapter ini memakai bahasa javascript. Bacalah contoh kode sebagai ilustrasi alur, bukan sebagai bagian yang harus langsung dihafal. Baris 2-7: CSRF middleware. Baris 10-15: Token di form. Baris 18-22: SameSite cookie. Baris 25-32: Fetch dengan CSRF token.

Perhatikan nama fungsi, urutan langkah, dan data yang berpindah. Biasanya tiga hal itu sudah cukup untuk memahami hubungan antara teori dan praktik.

Konteks dalam Perjalanan Belajar

Setiap konsep di platform ini dipilih karena dipakai di industri. Fokus pada pemahaman, bukan hafalan.

Kamu sedang membangun skill inti. Setelah bagian ini, kamu bisa memilih spesialisasi sesuai minat: frontend, backend, atau DevOps.

Gunakan pertanyaan reflektif dan prompt AI di akhir chapter sebagai latihan aktif. Membaca saja tidak cukup — kamu perlu menjelaskan ulang dengan kata-katamu sendiri.

Contoh Kode

javascript

// CSRF TOKEN (Server)
const csrf = require('csurf');
app.use(csrf({ cookie: true }));

app.get('/form', (req, res) => {
  res.render('form', { csrfToken: req.csrfToken() });
});

// CSRF TOKEN (Client)
<form action="/transfer" method="POST">
  <input type="hidden" name="_csrf" value="<%= csrfToken %>">
  <input type="text" name="amount">
  <button type="submit">Transfer</button>
</form>

// SAMESITE COOKIE
res.cookie('session', token, {
  httpOnly: true,
  secure: true,
  sameSite: 'strict' // atau 'lax'
});

// FETCH DENGAN CSRF TOKEN
fetch('/api/transfer', {
  method: 'POST',
  headers: {
    'X-CSRF-Token': document.querySelector('meta[name=csrf]').content
  },
  body: JSON.stringify({ amount: 1000 })
});

Penjelasan Kode

Baris 2-7: CSRF middleware. Baris 10-15: Token di form. Baris 18-22: SameSite cookie. Baris 25-32: Fetch dengan CSRF token.

Prompt AI

Jelaskan bedanya SameSite=Strict dan SameSite=Lax.

Pertanyaan Reflektif

Cek apakah website-mu punya proteksi CSRF. Lihat form — ada CSRF token?