cookies - 我可以使用 session cookie 而不是 csrf 吗？

Question

我一直在阅读有关 csrf 和 fiddliN 的文章，并使用 go 和 gorilla 工具包实现它。我还使用我已实现的 gorilla session 将用户 ID 存储在加密的 cookie 中。

cookie 已解密，我使用我编写的中间件使用现在未加密的键值存储从数据库中获取用户...

如果用户通过 oauth2 提供程序通过身份验证创建 session cookie，如果所有需要这种保护的 View 无论如何都只允许授权用户使用，我是否需要实现 csrf 保护？

Answer 1

假设用户已登录到您的站点，并在同一 session 中继续浏览 Internet。他们无意中发现了另一个以您的网站为目标的恶意网站，使用 HTML 或 JS 导致用户的浏览器向您网站上的端点发出请求。这将包含您域的用户 session cookie，除非受到 CSRF token 保护，否则会成功。