api - 没有 CSRF token 的身份验证

Question

我有一个简单的网络应用程序，可以对用户进行身份验证。它在 https 下工作，因为它很简单，它需要两个字段 username，password + csrf token。

现在我已经实现了一个简单的 API，用于验证具有给定用户名和密码的用户是否存在。它是用 jquery.post() 方法调用的，在同一个域上，也使用 https，但我只提供 username 和 password。

假设我的 API 目前只有一个功能“已注册”，我需要担心什么吗？当然，蛮力除外。

Answer 1

Assuming that my API has only one function for the moment "is-registered" do I need to worry about something?

“某事”过于宽泛，我无法胜任回答，但您无需担心 CSRF，只要您保持请求及其结果和描述的原因即可。让我告诉你为什么。

CSRF 攻击是指攻击者使用攻击者想要的参数和数据欺骗或强制用户执行攻击者想要的操作(发送请求)，但以用户的名义(使用用户的有效 session 和/或其他私有(private)用户信息)。

如果网站认为用户提出了请求，但它可能永远不会对任何人造成任何伤害，那么您不需要 CSRF token ，尽管他只是被迫这样做。这似乎是你的情况，因为如果用户被迫询问是否存在具有攻击者提供的名称和密码的帐户，这并没有什么害处。

您只需要注意不要根据发送请求的用户更改此类请求的原因及其结果。