Пример обучающего модуля

// ❌ CSRF защита была явно отключена в конфигурации
@Configuration
public class SecurityConfig {
    
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .csrf().disable()  ← ⚠️ КРИТИЧЕСКАЯ ОШИБКА!
            .authorizeHttpRequests(auth -> auth
                .anyRequest().authenticated()
            );
        return http.build();
    }
}

@Configuration
public class SecurityConfig {
    
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            // ✅ CSRF защита включена по умолчанию в Spring Security
            // Но мы явно настраиваем для ясности
            .csrf(csrf -> csrf
                .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
            )
            .authorizeHttpRequests(auth -> auth
                .anyRequest().authenticated()
            );
        return http.build();
    }
}

// JavaScript на frontend
function getCsrfToken() {
    // Spring Security кладёт токен в cookie XSRF-TOKEN
    const name = "XSRF-TOKEN";
    const match = document.cookie.match(new RegExp('(^| )' + name + '=([^;]+)'));
    return match ? match[2] : null;
}

// При отправке формы добавляем токен в заголовок
fetch('/api/transfer', {
    method: 'POST',
    headers: {
        'Content-Type': 'application/json',
        'X-XSRF-TOKEN': getCsrfToken()  ← ✅ Добавляем токен!
    },
    body: JSON.stringify({
        toAccount: 'recipient-123',
        amount: 50000
    })
});

@Configuration
public class CookieConfig {
    
    @Bean
    public CookieSerializer cookieSerializer() {
        DefaultCookieSerializer serializer = new DefaultCookieSerializer();
        serializer.setSameSite("Strict");  ← ✅ SameSite=Strict
        serializer.setUseHttpOnlyCookie(true);
        serializer.setUseSecureCookie(true);
        return serializer;
    }
}

@SpringBootTest
@AutoConfigureMockMvc
class CsrfProtectionTest {
    
    @Autowired
    private MockMvc mockMvc;
    
    @Test
    void transferWithoutCsrfToken_shouldBeForbidden() throws Exception {
        // Arrange: создаём authenticated сессию
        MvcResult loginResult = mockMvc.perform(post("/login")
                .param("username", "testuser")
                .param("password", "password"))
            .andExpect(status().isOk())
            .andReturn();
        
        String sessionCookie = loginResult.getResponse().getCookie("JSESSIONID").getValue();
        
        // Act: пытаемся сделать перевод БЕЗ CSRF токена
        // (имитируем CSRF атаку)
        mockMvc.perform(post("/api/transfer")
                .cookie(new Cookie("JSESSIONID", sessionCookie))
                .param("toAccount", "attacker-123")
                .param("amount", "50000"))
            // Assert: ожидаем 403 Forbidden
            .andExpect(status().isForbidden());  ← ✅ Запрос должен быть отклонён!
    }
    
    @Test
    void transferWithValidCsrfToken_shouldSucceed() throws Exception {
        // Arrange: получаем CSRF токен
        MvcResult result = mockMvc.perform(get("/api/csrf"))
            .andExpect(status().isOk())
            .andReturn();
        
        String csrfToken = result.getResponse().getCookie("XSRF-TOKEN").getValue();
        
        // Act: делаем перевод С валидным CSRF токеном
        mockMvc.perform(post("/api/transfer")
                .header("X-XSRF-TOKEN", csrfToken)
                .param("toAccount", "recipient-123")
                .param("amount", "1000"))
            // Assert: ожидаем успех
            .andExpect(status().isOk());  ← ✅ С токеном запрос проходит
    }
}