我们使用的 Web 应用程序框架内置了对处理跨站点请求伪造的支持。这在使用浏览器将数据发布到我们的网络服务器时效果很好。
目前我们正在开发一个 API，其中上传的 XML 文件由相同的应用程序框架处理。我们的 API 需要在上传的 XML 文件中使用唯一令牌进行身份验证。由于默认启用 CSRF 检测并且 XML 文件不包含 CSRF 令牌，我们目前无法通过此 API 上传任何数据。
但是，我们可以很容易地禁用 CSRF 检测，但这安全吗？
here 的帖子非常大胆地陈述了以下内容。
It is safe to remove csrf for API calls as the particular vulnerability can only be executed through a web browser.
这是真的吗？通过 API 不会发生与 CSRF 攻击类似的事情吗？
【问题讨论】：
这取决于您如何使用 API。假设使用 API 的网站易受 CSRF 攻击，则意味着该 API 也易受攻击。
维基百科是这么说的
CSRF 利用网站对用户浏览器的信任。
为了支持 API 调用，服务器要求凭据与每个请求（或类似摘要、安全句柄、散列）一起发送。如果凭据存储在应用程序内存（如移动应用程序）中，则 API 不会受到 CSRF 的攻击。但是，如果凭据保存在会话或 cookie 中，则 API 会暴露给 CSRF
【讨论】：
这取决于您所说的“禁用 CSRF 检测”。
一些提示：
只要您做验证唯一的身份验证令牌没有失败，那么攻击者就无法在没有有效令牌的情况下欺骗有效请求。这很简单。
这里的“唯一身份验证令牌”是指浏览器不会自动发送的东西。 （所以不要使用 HTTP Basic / Digest、Cookie 标头等内容。）它一定是您（API 创建者）想出的独特。这可以像附加 Foobar:the_unique_token 标头一样简单。
请注意，根据Cookie（或浏览器自动发送的其他令牌）识别客户端是完全可以的，但您必须仅在提供唯一令牌时才允许进入。
只要攻击者能够猜测/获取令牌（the_unique_token），就可以欺骗有效请求。因此，令牌需要长、随机且一次性使用才能安全。
【讨论】：