php - 跨站点请求伪造 (CSRF) 缓解

Question

我有一个关于 csrf 缓解的问题。文献建议在每个页面上使用 token ，该 token 必须与任何表单一起提交 - 此 token 必须有效才能进行交易。

页面上的 token 如何防止 csrf？由于 http 是无状态的，我不能只发出一个 http GET 请求，从 html 中解析 token ，然后在 POST 中使用该 token (在某个时间限制内)吗？

Answer 1

是的，你可以。但这不是 CSRF。 CSRF 是指我偷偷地让您执行您不打算执行的操作。例如，如果你登录到一个特定的网站，我诱骗你点击一个链接，如下所示:

http://test.com/action.php?delete_id=324

您单击该链接，令您沮丧的是，您最终删除了一个您不想删除的资源。或者，如果我让您查看这样的图像(查看 src)怎么办:

<img src="http://test.com/action.php?delete_id=324" />

但是，如果 action.php 需要 token 怎么办？然后我(攻击者)将不得不尝试找出您当前使用的 token 。

http://test.com/action.php?delete_id=324&token=89723gdeHDdhipd823igb9bd87309287bhdebvtaGY

否则，操作将不会发生，请求将被拒绝(或者至少应该被拒绝)。