Внедрил CSRF-токены на все формы, вроде по гайду сделал, токен генируется, вставляется нормально, сервер тоже проверяет при сабмите. Но простые тесты пока показывают, что атаки из чужих источников всё равно проходят. Думаю, основная проблема в настройках SameSite для куки - если стоит lax или none, то защита по факту не работает, CSRF проскочит. Ещё AJAX-запросы часто проходят без нужных заголовков или сессий, и токен там может не валидироваться как надо.

Ещё момент - если на сайте лезут внешние API или iframe, а политики CORS и Content Security Policy не прописаны нормально, это может создавать дыры. Часто проверка токена есть, но она либо с багами, либо просто в каком-то роуте отключена, поэтому запросы проходят хоть и с поддельным токеном.

Кто тут сталкивался с проверкой CSRF "на практике"? Как тестите, чтоб понять, какие запросы реально проходят? Мне кажется, кроме токена и куки надо глянуть на проверку Origin или Referer - фильтровать запросы по домену, но насколько это реально надёжно, хз. Хотелось бы услышать реальные кейсы, а не только теорию.