如何防范 CSRF

Question

如何保护我的网站免受跨站请求伪造攻击？ 我正在访问一个“正常”的网站。 （例如 normal.php） 在后台，它会加载我已经登录的另一个网站（f.e.victim.php/send_comment）。 该网站用JS填充victim.php的评论框并自动发送请求。

在网络上，我总能找到针对 CSRF 使用令牌的技巧。但在本例中，网站 normal.php 将在加载其他网站时获取令牌。 我是否误解了令牌的工作原理？如果没有，我怎样才能阻止我的网站接受这个请求？

Answer 1

CSRF 的整体理念是，如果没有您访问过的前一页的令牌，您无法获得victim.php/send_comment。

您从初始登录开始形成一个请求“链”，直到您到达那里，每个请求都由前一个请求授权 - 除非您拦截登录页面，否则应该无法伪造请求。

最简单、最安全的方法就是使用一个为您处理 CSRF 的 Web 框架。手工操作可能没有必要且容易出错。