我可以使用会话 cookie 代替 csrf 吗？

Question

我一直在阅读有关 csrf 和 fiddliN 的相关信息，并使用 go 和 gorilla 工具包实现它。我还在使用我已经实现的 gorilla 会话，将用户 ID 存储在加密的 cookie 中。

cookie 被解密，我使用我编写的中间件从数据库中获取用户，现在未加密的键值存储...

如果用户通过 oauth2 提供程序从身份验证创建会话 cookie，如果所有需要此类保护的视图都只允许经过身份验证的用户，我是否需要实施 csrf 保护？

Answer 1

假设用户已登录您的网站，并在同一会话中继续浏览 Internet。他们偶然发现了另一个恶意针对您的站点，其 HTML 或 JS 会导致用户的浏览器向您站点上的端点发出请求。这将包含您域的用户会话 cookie，除非受 CSRF 令牌保护，否则会成功。