security - 如果 header 中的验证 token 而不是 POST 正文中的 CSRF 安全风险

Question

关于搜索 CSRF 预防技术最广泛找到的解决方案是 MVCAntiForgeryToken (随 MVC 3 一起提供)实现，服务器的客户端必须在 POST 正文中发布验证 token 。在服务器端，它将根据 Cookie 中存在的 token 进行验证。

在自定义 header 中发送验证 token 并在服务器端使用 cookie 中存在的验证 token 验证自定义 token 的值是否同样安全？

Answer 1

它更加安全:)，因为即使攻击者可以获得当前事务的有效 csrf token ，他也必须发起跨域 ajax 请求以在请求中包含自定义 header 。如果用户在浏览器中禁用了 js，那么攻击者就会被干掉:)。然而，它可以用 Java 小程序覆盖...但你知道，如果用户没有受过教育并且攻击者确实有动机，那么你几乎无能为力；)。

但是存在一个问题，如果用户通过防火墙或公司代理访问我们，则并非所有自定义 header 都会被转发。所以我认为这是使用字段而不是自定义 header 的主要原因。尽管有一个 header 可以防止 XSRF 攻击:Origin，The web origin concept也可作为附加信息 Content Security Policy 1.1这只是一个草案，但其中提出了一些有趣的想法。