csrf - CSRF 是否安全？

Question

很多人都在谈论实现 CSRF 来阻止对网页的跨站点攻击。但我认为破坏 CSRF 并向服务器发出请求非常容易。

那么它是如何工作的呢？

1. 您从一个页面开始，呈现一个表单并使用 CSRF token 保留一个隐藏字段。
2. 提交表单后，其他页面将需要 CSRF token 以验证请求。
3. 在验证请求时，服务器将检查 CSRF token 和一个 secret ，以查看 token 是否有效。
4. 现在 secret 本身存储在 session 或 cookie 中。

这意味着如果我去一个网站，从网页复制 CSRF token ，从浏览器网络选项卡复制 session 值。在此之后，我可以构造一个 CURL 请求，设置这些值并尽可能多地发出请求。

那么 CSRF 到底需要什么？

Answer 1

你定义的场景不是 CSRF。

你的场景

Alice 访问 Bob 的网站。 Alice 从 Bob 的网站获取 cookie。 Alice 使用该数据向 Bob 的网站发出她设计的请求。

这很好。这里发生的一切都在 Alice 和 Bob 之间。

如果 Bob 不能信任 Alice 发送好的数据，那么这完全是一个不同的问题。

CSRF 场景

Alice 访问 Bob 的网站。 Alice 从 Bob 的网站获取 cookie。 Alice 访问 Mallery 的网站。 Mallery 的网站触发向 Bob 的网站提交表单。 Bob 接受数据，因为它来自 Alice 的浏览器和 Alice 的 cookie。

即Mallery 的站点正在伪造 Alice 到 Bob 站点的请求。

anti-CSRF token 的目的是防止 Mallery 通过 Alice 的浏览器发出请求(因为 Mallery 无法获取 token 放入表单数据中，所以无法匹配 cookie 中的 token)。