Session & CSRF Security
Proteksi sesi HttpOnly, SameSite cookie flags, sanitasi token, dan mitigasi CSRF.
Status: Stablev1.0.0Source Verified: Yes
Source:
src/lib/serverAuth.ts, next.config.tsTests: tests/unit/authPolicy.test.tsSession & CSRF Security Architecture#
Langkah-langkah pengamanan sesi komprehensif untuk mencegah kebocoran kredensial dan serangan injeksi lintas situs.
1. Proteksi Cookie Sesi HttpOnly#
Cookie __session disetel dengan flag ketat:
- HttpOnly: JavaScript client-side tidak dapat membaca isi cookie, menggagalkan pencurian token via XSS.
- Secure: Cookie tidak pernah dikirimkan melalui HTTP biasa yang tidak terenkripsi.
- SameSite=Lax: Melarang pengiriman cookie otomatis dari situs pihak ketiga yang mencurigakan.
2. Mitigasi Cross-Site Request Forgery (CSRF)#
- Memeriksa kecocokan header
OrigindanHostpada seluruh metode mutasi (POST, PUT, DELETE, PATCH). - Memanfaatkan Server Actions Next.js yang memiliki token proteksi CSRF kriptografis otomatis bawaan framework.
3. Pembatasan Laju Permintaan (Rate Limiting)#
Endpoint autentikasi dan inferensi AI dilindungi oleh pembatas laju untuk menggagalkan serangan brute-force:
- Endpoint Login: Maksimal 5 percobaan per menit per IP.
- Endpoint AI Inference: Maksimal 20 request per menit per sesi klinik aktif.