【发布时间】：2019-04-18 23:00:21
【问题描述】：
TL;DR 为什么在 GET 请求参数中放一个 CSRF Token 不好？
解决问题。
我在 SaaS 应用程序上有一个搜索表单，其中为每个表单（包括 GET 表单）注入 CSRF 令牌。这对我来说似乎很糟糕，但我无法说出原因，我被要求这样做。
所有流量均已加密。所以 GET 参数不能被钢丝刮擦。
我在这里看到的最糟糕的情况是某种社会工程，其中恶意行为者会要求某人复制 URL，而用户只是将其交出而不认为这很危险。
否则我真的想不出这样一个场景，如果黑客不费心在中间场景中设置一个人，那么黑客驱动是可能的，在这种情况下，他们可能会被设置为做得更糟没有那个 CSRF Token 的东西。
我在这里错过了什么？
【问题讨论】：
标签： security csrf csrf-protection owasp csrf-token