将会话 ID 放置在隐藏表单输入中与 cookie 相比有哪些优点和缺点？
将 CSRF-Tag 放在隐藏的表单输入字段和 httpOnly cookie 中的会话 id 是否正确？哪个更安全？
【问题讨论】：
标签： security session cookies xss csrf
如果您将 Session ID 放在隐藏的表单字段中，那会更加安全，但会影响用户体验。
原因在于，这会固有地保护您免受CSRF 的侵害，因为对您的站点发出的任何跨域请求都意味着浏览器不会自动包含使 CSRF 攻击成为可能的会话标识符。它还中和了session fixation 攻击，因为没有 cookie 可毒化。此外，任何Login CSRF 也已死在水中。
要实现这一点，您需要通过 POST 方法对您网站上的每个操作（包括导航）进行操作。 GET 方法不合适，因为这会在浏览器历史记录、任何代理或服务器日志中默认暴露会话标识符，并且还可以通过 referer 标头泄漏。
例如，
<form method="post" action="/executeAction">
<input type="hidden" name="sessionId" value="12345678901234567890" />
<input type="hidden" name="action" value="navigateToAccountStatus" />
</form>
请注意，这将阻止在用户重新提交表单的情况下使用后退按钮（如果操作不是safe 操作，这可能会很危险）。为了防止这种情况，您可以在处理完每个操作后刷新会话标识符。
另一个原因是这将保护您的网站免受攻击，例如POODLE。由于没有 cookie 可供中间人一次暴力破解一个字节，因此 POODLE 攻击将是徒劳的。
请注意，这种方法更难实现，并且没有多少网络框架默认支持它。
将CSRF-Tag放入表单隐藏字段和httpOnly cookie中的Session Id是否正确？
是的，这是大多数网站采用的方法。对于大多数用途而言，它“足够安全”——只有像网上银行这样的安全性非常高的系统才应该采用这种形式的方法。
【讨论】：
我认为一个本质上并不比另一个安全。安全性通常是分层构建的。通过断言选择 A 可能比选择 B 更安全，当两个选择在同一垂直方向上发挥作用时，您就断言安全性止步于此。这在实践中是完全错误的和没有根据的。
通过主要以隐藏表单输入的形式传递会话 ID，您实际上会产生更多个问题，而不是您自己解决的问题。另外，我不同意这样的说法，即无论如何这都会使您受到 CSRF 的固有保护。
当您考虑会话服务的目的（通过其他无状态协议保持服务器和客户端之间的状态）时，实际上说我将通过隐藏的输入字段传递我的所有会话 ID 是没有意义的。因为，一方面，并非向您的服务器发出的每个请求都涉及使用表单。另一方面，当用户刷新页面或关闭浏览器时，状态就会丢失。这一点都不务实。
将 CSRF 令牌放置在隐藏输入中是正确的。通过 HTTP 标头将它们发送给客户端也不是不正确的。 CSRF 令牌本身不足以防止攻击。还需要服务器了解如何识别该令牌（据说是为该客户端唯一生成的）没有被同一用户重复使用，也没有绑定到另一个会话。
由于 CSRF 攻击通常基于您无法区分真实用户和恶意伪造的前提，其想法是通过为每个请求重新生成令牌来使伪造者的工作更加困难。再加上 use-only-once 要求，会话被劫持实际上不再重要。所以你真的不应该尝试在错误的级别解决这个问题，假设你可以通过在隐藏输入中传递会话 id 并说服自己这比将会话 id 存储在一个更安全的方式来解决这两个问题曲奇饼。 不是。应该有额外的安全层来保护您的会话免受会话劫持或会话固定攻击，例如使用SSL only cookies、HSTS，以及在重新验证请求时重新生成会话 ID（同时删除旧会话文件）。此外，强制对用户级非幂等操作进行重新身份验证。
【讨论】：