security - 登录页面是否需要防伪 token ？

Question

我经常看到在标准用户名/密码登录页面上放置防伪 token 的代码示例。即使是 Asp.Net web 项目模板也能做到这一点。

为什么？唯一改变的系统状态是用户的登录状态，为了实现这一点，攻击者需要他们的用户名和密码，这意味着一切都已经受到最大程度的损害。

我只是在这里看不到攻击向量。我错过了什么吗？

Answer 1

扩展 IRCMaxell 的答案。根据定义，CSRF 意味着使用用户的 session 和/或针对他们的权限。未经身份验证的用户不是 CSRF 的目标。

这是一篇关于该主题的有用 OWASP 文章:https://www.owasp.org/index.php/Cross-Site_Request_Forgery_%28CSRF%29

在登录表单中放置防伪 token 几乎完全是为了保持一致性。

编辑:

我最后的陈述是错误的。这里的另一个答案正确地指出了“帐户固定”攻击是可能的。这意味着可以使用不属于自己的凭据将某人登录到站点。这可能会导致个人或财务信息的潜在泄露。

话虽这么说，为所有网络表单包含 CSRF 验证的一般做法是一种有用且通常是必要的做法。