XenForo GET parametlerindeki _xfToken nedir?

CinarYilmaz dedi:

Daha once ismini degistirmis bir uyenin profiline girip (test etmek icin benim profilimi deneyebilirsiniz), sayfa tamamen yuklendikten sonra F12'ye basip Network bolumune girdikten sonra asagida resmini gordugunuz tusa bastigimizda Network bolumunde cikan linke girdim, ve URL'yi incelerken _xfToken diye bir sey oldugunu gordum. Anladigim kadariyla her seferinde bu yenileniyor, ve bu parametre olmadiginda site guvenlik hatasi veriyor. Bu tam olarak ne ise yariyor?
Tus:
Eki Görüntüle 1283379
Link:
Eki Görüntüle 1283381
Linkteki merak ettigim kisim:
Eki Görüntüle 1283386
Hassas bir bilgi olabilecegi icin tamamini yazmadim, yoksa cok daha uzun bir sey bu.

Genişletmek için tıkla...

Bu bir CSRF tokendir. Size kısaca özet geçeyim.

CSRF Nedir?
CSRF => Cross Site Request Forgery
Yani siteler arası istek sahtekarlığı demektir.

Örneğin siz bir sosyal medyaya üye oldunuz ve bu sayfada CSRF güvenlik açığı bulunmakta. Siz bu sosyal medyadan çıktınız ve X(zararlı) sitesine girdiniz. X sitesi sizin bilgisayarınız üzerinden istek yaparak sizin hesabınızda paylaşımda bulunabilir. Çünkü bir daha siteye girdiğinizde şifrenizi yazmamanız için siz oturum açtığınız an oturum bilgileriniz sisteminiz üzerinde depolanıyor.

CSRF'den Nasıl Kurtulurum?
Sitenizde isteğin sizin siteden geldiğine dair bir imza olmalıdır. Buna CSRF token diyoruz. CSRF tokenlar genel olarak tek kullanımlıktır ve size verildiği andan itibaren belli bir süre ile geçerlidir. Bu yüzden bazı sitelerde "Oturum süreniz doldu." diye bir hata alırsınız ve sayfayı yenilemeniz gerekir.

CSRF Token Günümüzde Gerekli mi?
Yeni nesil tarayıcları düşünürsek CSRF token önemini biraz yitirmiş sayılır. Artık CORS var. CORS sayesinde bir site üzerinden size izinsiz istek gelmiyor. Siz istediğiniz domainlere izin veriyorsunuz. Fakat bu asla ve asla CSRF token'ın gereksiz olduğunu ve olmasa da olur statüsüne indiğini göstermez. Zira CORS desteği olmayan tarayıcılar da mevcuttur.