javascript - Angular 2 - 在 Angular 2 中使用 csrf token 有意义吗？

Question

我提出这个问题是因为在客户端服务器应用程序中，服务器为每个请求发送带有隐藏在表单中的不同 token 的 html。此 token 是通过 key 在服务器上构建的。

但是 Angular 2 所有的表单都已经在客户端上了。对于包含 token 的表单，他需要一个 key 在客户端中，对我来说这已经是一个安全漏洞。

所以我问这个问题，在 Angular 2 中使用 csrf token 是否有意义？如果答案是肯定的，这怎么可能呢？

Answer 1

Angular 2 包含一个名为 double-submit cookie pattern 的 CSRF/XSRF 缓解策略.来自Angular documentation ,

The Angular http client has built-in support for this technique. The default CookieXSRFStrategy looks for a cookie called XSRF-TOKEN and sets an HTTP request header named X-XSRF-TOKEN with the value of that cookie on every request. The server must set the XSRF-TOKEN cookie, and validate the response header for each state modifying request.

因此，如果您使用的是 http 服务，则无需在 Angular 端执行任何额外操作即可获得 CSRF 保护。服务器需要检查 header 和 cookie 值是否相同。