security - 允许在正文或 header 中发送 CSRF token 是否存在安全风险？

Question

大多数 CSRF 解决方案似乎都坚持将 CSRF token 作为 POST 数据的一部分发送。

在我的情况下，发送的数据是 json，我不控制发送的内容(而且我不想开始弄乱 json)。因此，我正在考虑将 CSRF token 作为 header 发送。但是，我的应用程序的遗留部分仍然需要能够在正文中发送 token (例如从 html 表单提交)。

因此，如果正文或 header 中出现有效的 CSRF token ，我的 CSRF 保护必须允许该请求。与坚持将 token 放在正文中相比，这是否存在安全风险？

Answer 1

CSRF 的目的是让毫无戒心的用户将数据发布到攻击者认为该用户已登录的服务器。

保护背后的想法是，服务器将 token 与您的 session 相关联，并将其作为 cookie 和有效负载要求发送给您。然后，当发布内容时，您将 token 以 cookie 的形式发送到有效负载中。因此，攻击者无法猜测 cookie 或 session 中的 token 是什么。如果服务器收到带有两个不同 token 的帖子，它将被拒绝。

我认为将有效负载 token 放入 header 中就可以了，只要它不是“Cookie”或浏览器“记住”并自动发送的任何其他 header 即可。