公开会话的CSRF保护令牌是否安全？
Django随附CSRF保护中间件，该中间件生成用于表单的唯一每次会话令牌。它扫描所有传入的POST请求以获取正确的令牌，如果令牌丢失或无效，则拒绝该请求。
我想对某些POST请求使用AJAX，但表示请求没有CSRF令牌。这些页面没有任何<form>要钩的元素，我宁可不要弄混将标记作为隐藏值插入的标记。我认为实现此目的的一种好方法是公开vew，/get- csrf-token/以返回用户的令牌，这依赖于浏览器的跨站点脚本编写规则来防止恶意站点请求它。
这是一个好主意吗？在允许AJAX请求的同时，还有更好的方法来防御CSRF攻击吗？
问题答案：
如果您知道需要CSRF令牌来处理AJAX请求，则可以随时将其嵌入HTML中。那么您可以遍历DOM并通过Javascript找到它。这样，您仍然可以访问令牌，但不会通过API公开令牌。
换句话说，请通过Django的模板进行操作-而不是通过URL分配程序。这样更安全。
-
我的问题是，对每个表单使用一个令牌，而不更新每个表单提交的令牌，安全吗？这能防止CSRF吗？
-
我读到，当使用JWT时，不需要防止CSRF攻击，例如：“由于您不依赖cookie，您不需要防止跨站点请求”。 但是，有一点我不明白：如果我将令牌存储在localStorage中（正如我在同一网站的教程中被告知的那样），那么攻击者如何防止通过读取我的localStorage而不是Cookie来伪造恶意请求呢？ 由于它是在服务器端生成的，我不知道如何在客户机请求中使用令牌而不将其存储在客户机的某个地方
-
我正在AngularJS SPA中使用资源所有者密码凭证OAuth 2.0流。有几篇文章（这里，这里…）这个问题的答案解释了我们不应该将刷新令牌存储在（web）客户端（LocalStorage）上，而是将它们加密存储在HttpOnly Cookie中，并使用代理API实现对refreh令牌的解密，从而将其转发给安全令牌服务。 大多数文章都暗示我们应该使用一种常见的保护机制来关注CSRF。我想知道单
-
示例： 爱丽丝通过浏览器登录到“https://example.com”（使用cookie）。我想，她使用的是现代浏览器。 爱丽丝访问“https://evil.com”，而evil.com的客户端代码对“https://example.com”执行某种请求（经典CSRF场景）。 所以： null null
-
问题内容： 因此，我对PHP文件有了一个基本的.ajax（）POST方法。 我需要什么安全措施？ 周围有几篇文章提到使用隐藏的MD5输入字段，您可以通过AJAX发送该字段并在PHP文件中进行验证。这足够好吗？ 问题答案： CSRF的风险在于，外部站点可能会将数据发送到您的站点，而用户浏览器会自动将身份验证cookie与它一起发送。 您需要某种方式来执行接收操作（您的方法正在向其发送POST数据），
-
简介 Laravel 可以轻松地保护应用程序免受 跨站点请求伪造 (CSRF) 攻击，跨站点请求伪造是一种恶意攻击，它凭借已通过身份验证的用户身份来运行未经过授权的命令。 Laravel 会自动为每个活跃用户的会话生成一个 CSRF「令牌」。该令牌用于验证经过身份验证的用户是否是向应用程序发出请求的用户。 无论何时，当您在应用程序中定义HTML表单时，都应该在表单中包含一个隐藏的CSRF标记字段，