【发布时间】：2011-02-28 19:46:00
【问题描述】：
我正在为我的网站编写一个基本的留言板插件。版主将在每个帖子上都有 href 链接以删除、取消批准、编辑等。防止对这些链接进行 CSRF 攻击的最佳方法是什么？我唯一能想到的就是为每个链接制作一个带有隐藏标记的表单，并让 href 使用 javascript 提交表单，但这似乎是一个非常笨拙的解决方案。有没有更好的办法？
【问题讨论】：
标签： csrf
【发布时间】：2011-02-28 19:46:00
【问题描述】：
【讨论】：
-
我读过类似的东西。在这些情况下包含一个令牌作为 GET 参数就足够了，因为我没有处理信用卡号或类似的敏感信息？
-
@Slipflurry - 只要令牌是唯一的、不可猜测的并且可以与用户相关联，当然可以。
-
@Oded - 从您链接的 OWASP 文档中，在 URL 中披露令牌：“GET 请求中的 CSRF 令牌可能在多个位置泄露：浏览器历史记录、HTTP 日志文件、记录 HTTP 请求第一行的网络设备，以及受保护站点链接到外部站点时的引用标头。”不要将 CSRF 令牌放入 GET 请求中，除非您不在乎他们是否受到损害。那为什么还要费心去拥有令牌呢？