对匿名用户使用 CSRF 保护有意义吗？

Question

是否应该为匿名用户使用 CSRF 保护，还是违背了它的目的？

我有一个可以匿名访问的 URL。当使用适当的信息访问 URL 时，我的数据库中的一些值会更新。例如，客户可以在他们的订单确认页面上放置一些代码，该代码将向http://example.com/save-request 发出 POST 请求，并发送以下数据：

{orderId: 1234, referralCode: 'ABCDEF'}

当我收到此请求时，我会使用推荐代码更新我的数据库中的给定订单：

$order = Order::find(Input::get('orderId'));
$order->referral_code = Input::get('referralCode');
$order->save();

我试图保护此 URL 免受滥用，以便用户无法发送随机订单 ID 请求并尝试获取与其相关联的推荐代码。

想到了 CRSF 保护，但这意味着我需要先获取令牌，这需要另一个公共 URL。看起来这会让滥用变得稍微困难​​一些，但仍然有可能，因为滥用者可以简单地获取令牌，然后正常发出请求。

是否有任何策略可以防止此类滥用？

Answer 1

我同意 CSRF 令牌对未经身份验证的请求没有用，但它也没有任何害处，也不会增加额外的工作（在 Laravel 的情况下），所以在大多数情况下，没有真正的理由在这里和那里省略它。

关于您的问题的解决方案，请尝试将订单的id 替换为生成的随机order_number 之类的东西，这比简单的ID 更难猜测。

另一种解决方案是这样的：

$order = Order::where('id', '=', Input::get('orderId'))
    ->where('created_at', '=', Input::get('createdAt'))->first();

if ($order) {
    $order->referral_code = Input::get('referralCode');
    $order->save();
}

在这种情况下，用户必须猜测 id 并猜测特定订单的创建时间。

您还可以混合使用这两种解决方案（order_number 和 created_at）。

这不是一个完美的 100% 解决方案，但会大大降低欺诈的可能性。

祝你好运！

Answer 2

CSRF 旨在保护经过身份验证的会话。基本思想是：服务器为所有经过身份验证的会话向客户端提供一个 CSRF 令牌。客户端应该在每个后续请求中将相同的 CSRF 令牌传递给服务器。因此，如果一个请求没有令牌，服务器应该忽略/记录它。理想情况下，您的 CSRF 令牌应该只在身份验证时传递给客户端。如果有一个单独的 URL 来获取 CRSF 令牌，那就没有意义了。

在您的情况下，由于用户在“订单确认”时始终是匿名的，因此 CSRF 保护不太适用。我认为最好的策略是对数据和 API 进行建模，这样每个“订单确认”都是一个带有可选“referralCode”的原子请求。然后，您的 API 函数/端点（可能是 /confirm-order）可以获取 referralCode 并将其与任何其他确认处理逻辑一起保存到 Order 对象中。用于编辑订单的 API 函数/端点，可能是 /edit-order，应该需要身份验证。然后，应用标准的 CSRF 保护。

但是，如果您打算允许匿名用户更改他们的订单详细信息，包括 referralCode，您可以通过跟踪更改来减少滥用，并且只允许最大数量的更改。如果有帮助，您还可以添加一些时间限制。