ruby-on-rails - Rails 默认的 CSRF 保护不安全吗？

Question

默认情况下，Rails 中的表单 post CSRF 保护会为用户创建一个真实性 token ，该 token 仅在用户 session 更改时更改。我们的一位客户对我们的网站进行了安全审核，并将其标记为问题。

审计员的说法是，如果我们也有一个 XSS 漏洞，攻击者可以获取另一个用户的真实性 token 并利用它进行 CSRF 攻击，直到用户的 session 过期。

但在我看来，如果我们有这样的 XSS 漏洞，攻击者就可以像该用户一样轻松地获取另一个用户的 session cookie 并直接登录。或者甚至只是在用户受到攻击时从脚本调用我们的 REST Api。在这种情况下，能够发起 CSRF 攻击似乎并没有更糟……问题在于 XSS 漏洞。

我错过了什么吗？ Rails 中的默认 CSRF 保护真的有问题吗？

Answer 1

你是完全正确的。基于 token 的 CSRF 保护是最常见的，只要您针对 XSS 测试您的应用程序，您应该没问题。

在某些情况下，无论 XSS 如何，CSRF 仍然可以停止。例如，对于您的密码更改论坛，要求他们知道当前密码。除非黑客知道当前密码，否则他将无法伪造此请求，这是一个有争议的问题。

另一种方法是要求验证码来解决该请求。我建议使用 reCapthca。