防止跨站请求伪造（CSRF）

Question

我们如何防止 ASP.Net webForm 中的跨站点请求伪造 (CSRF) 攻击。我想保护网站中的一些页面，如果我们在电子邮件中收到 URL，我们如何防止攻击者执行 CSRF。

Answer 1

您可以采取一些额外的预防措施。

1. 首先连接您的用户身份验证和操作，与 IP 和浏览器信息的。因此，对于每个操作，还要验证这些操作是由符合所有条件的用户完成的。
2. 加密一些关键数据/变量（CSRF 必须更改）——不要让变量只从 SSL 传递，而是从纯文本传递——
3. 始终使用加密的 SSL cookie。 requireSSL=true.
4. 不允许跨应用重定向enableCrossAppRedirects=false
5. 使用一个数据库表，将每个身份验证 cookie 与注销等用户操作联系起来，这样您就知道 cookie 已（可能？）已注销，或处于非活动状态，或者其他什么 - 甚至如果有效。
6. 阻止他们发现攻击的高级阻止 ips。 http://www.phoenixlabs.org/pg2/