这会阻止跨站点请求伪造尝试吗？

Question

我正在考虑一种方法来阻止跨站点请求伪造攻击作为我的安全编码课程的一部分。

我在想，如果我可以阻止尝试使用与该页面所在的地址不同的地址连接到我的网站……但这会起作用吗？如果没有，有什么更好的方法？

如果我尝试这样做会怎样：

// assuming my page is still on 192.168.195.128
if($_SERVER['REQUEST_METHOD'] == 'POST' && 
    $_SERVER["HTTP_HOST"] != "192.168.195.128")
{
    echo 'Cross-site request forgery attempt!';
}
else
{
    // continue normal execution
}

Answer 1

不，这不会阻止 CSRF。

您需要的是某种类型的令牌，该令牌传递给用户以在表单提交时发回。此令牌只能在特定位置使用一次。

CSRF 的工作原理是向用户当前所在的不同站点发送通用请求，通常利用他们已经过身份验证以及站点上没有被攻击的内容这一事实。这些请求来自用户的浏览器，看起来就像普通请求一样。可以查看referrer，但是一般认为通过表单传递的简单token比较好。