使用无状态（= 无会话）身份验证时需要 CSRF 令牌吗？

Question

当应用程序依赖无状态身份验证（使用 HMAC 之类的东西）时，是否有必要使用 CSRF 保护？

例子：

• 我们有一个单页应用程序（否则我们必须在每个链接上附加令牌：<a href="...?token=xyz">...</a>。

• 用户使用POST /auth 对自己进行身份验证。成功验证后，服务器将返回一些令牌。

• 令牌将通过 JavaScript 存储在单页应用程序内的某个变量中。

• 此令牌将用于访问受限 URL，例如 /admin。

• 令牌将始终在 HTTP 标头中传输。

• 没有 Http 会话，也没有 Cookie。

据我了解，应该（？！）不可能使用跨站点攻击，因为浏览器不会存储令牌，因此它无法自动将其发送到服务器（这就是当使用 Cookie/会话）。

我错过了什么吗？

Answer 1

我发现了一些关于 CSRF + 使用 no cookie 进行身份验证的信息：

1. https://auth0.com/blog/2014/01/07/angularjs-authentication-with-cookies-vs-token/
   “由于您不依赖 cookie，因此您无需防范跨站点请求”

2. http://angular-tips.com/blog/2014/05/json-web-tokens-introduction/
   “如果我们采用 cookie 方式，您确实需要执行 CSRF 以避免跨站点请求。正如您将看到的，在使用 JWT 时我们可以忘记这一点。”
   (JWT = Json Web Token, a无状态应用的基于令牌的身份验证）

3. http://www.jamesward.com/2013/05/13/securing-single-page-apps-and-rest-services
   “在不冒 CSRF 漏洞风险的情况下进行身份验证的最简单方法是简单地避免使用 cookie 来识别用户”

4. http://sitr.us/2011/08/26/cookies-are-bad-for-you.html
   “CSRF 的最大问题是 cookie 对此类攻击完全没有防御。如果您使用 cookie 身份验证，您还必须采取额外措施来防止 CSRF。您可以采取的最基本的预防措施是确保您的应用程序从不执行任何副作用来响应 GET 请求。”

如果您不使用 cookie 进行身份验证，还有很多页面表明您不需要任何 CSRF 保护。当然，您仍然可以将 cookie 用于其他所有内容，但避免在其中存储 session_id 之类的内容。

---

如果您需要记住用户，有两种选择：

1. localStorage：浏览器内的键值对存储。即使在用户关闭浏览器窗口后，存储的数据仍然可用。其他网站无法访问这些数据，因为每个网站都有自己的存储空间。

2. sessionStorage: 也是浏览器数据存储。不同之处在于：当用户关闭浏览器窗口时，数据会被删除。但如果您的 web 应用程序包含多个页面，它仍然很有用。因此，您可以执行以下操作：

• 用户登录，然后您将令牌存储在sessionStorage
• 用户单击一个链接，该链接会加载一个新页面（= 真实链接，并且没有 javascript 内容替换）
• 您仍然可以从sessionStorage 访问令牌
• 要注销，您可以手动从sessionStorage 中删除令牌或等待用户关闭浏览器窗口，这将清除所有存储的数据。

（两者都看这里：http://www.w3schools.com/html/html5_webstorage.asp）

---

令牌认证有什么官方标准吗？

JWT（Json Web Token）：我觉得还是一个草稿，但是已经被很多人使用了，概念看起来简单又安全。 （IETF：https://datatracker.ietf.org/doc/html/draft-ietf-oauth-json-web-token-25）
还有许多可用框架的库。只需谷歌即可！

Answer 2

TL;DR

如果在没有 Cookie 的情况下使用 JWT，则不需要 CSRF 令牌 - 但是！通过将 JWT 存储在 session/localStorage 中，如果您的站点存在 XSS 漏洞（相当常见），您将暴露您的 JWT 和用户身份。最好在 JWT 中添加一个csrfToken 密钥，并将 JWT 存储在设置了 secure 和 http-only 属性的 cookie 中。

阅读这篇带有详细描述的文章以获取更多信息 https://stormpath.com/blog/where-to-store-your-jwts-cookies-vs-html5-web-storage

您可以通过包含 xsrfToken JWT 声明使此 CSRF 保护无状态：

{ "iss": "http://galaxies.com", "exp": 1300819380, "scopes": ["explorer", "solar-harvester", "seller"], "sub": "tom@andromeda.com", "xsrfToken": "d9b9714c-7ac0-42e0-8696-2dae95dbc33e" }

因此，您需要将 csrfToken 存储在 localStorage/sessionStorage 以及 JWT 本身（存储在仅 http 且安全的 cookie 中）。然后对于 csrf 保护，验证 JWT 中的 csrf 令牌是否与提交的 csrf-token 标头匹配。