javascript - SPA，使用 oauth2 api 的网站——我需要 csrf 保护吗

Question

我的网站是完整的 SPA，所有经过身份验证的用户的请求都是使用访问 token 完成的，未经身份验证的用户可以访问的唯一表单是登录表单。那么csrf保护有必要吗？如果我从我的网站禁用 csrf 保护，我可能会面临哪些潜在的安全问题？谢谢。

Answer 1

如果我理解你的设置，它如下:

1. 用户 POST 凭据(例如:登录表单)
2. 服务器返回授权 token 作为响应
3. 用户在每个后续请求的请求 header 中包含 token

如果这是准确的，并且假设您正在使用 TLS 并正确验证 token ，我认为您已经很好地防止跨站点请求伪造。

典型的 CSRF 保护是发送一个只有合法网站才能看到的 token (例如，通过设置 cookie)，然后期望在后续请求 header 、查询参数(不是好主意)，或请求正文。基于 token 的身份验证(例如您的身份验证)已经满足这些要求。

简而言之，如果一个恶意站点能够绕过您的设置来伪造请求 (CSRF)，那么该恶意站点可能会使用相同的漏洞来破坏典型的 CSRF 保护。