jquery - 注册表单上是否需要 CSRF 保护？

Question

默认情况下，Rails 通过向站点生成的所有表单添加 authentication_token 来自动向所有表单添加 CSRF 保护。

我真的希望我的网站在首页上有一个简单的注册表单，当然它是一个静态 HTML 页面。理想情况下，这将完全避免触及 Rails 堆栈，从而使我能够向首页提供更多请求。

这样做的缺点是它使 CSRF 保护变得更加困难。

但我想知道是否真的有必要在注册表单上提供 CSRF 保护，因为 CSRF 攻击通常依赖于受害者登录，以便信任可以被利用。如果验证正确，注册表单将使用户登录，但我认为这对攻击者没有任何用处。

是否有对此的既定观点或使用 Rails/jQuery 的解决方法？

Answer 1

不，对于这种特定情况，不可以。 CSRF 攻击允许攻击者利用受害者拥有的权利，例如bank.com/pay?ammount=1000&to=34.67.978.246

攻击登录表单是没有意义的，因为如果攻击者拥有成功攻击登录字段所需的信息(用户名和密码)，他就可以自己登录。

Rails 在登录字段上使用 CSRF 保护的原因很简单:全局实现 CSRF 保护比 95% 的字段实现 CSRF 保护简单得多;)