在Python REST API中实现CSRF保护

Question

在使用JWT进行身份验证的情况下用金字塔/檐口编写REST API，我必须实现一些CSRF保护。在彻底阅读了这个主题之后，我理解了这个问题，但我对实现它的最佳方法相当困惑，考虑到所有可能的攻击矢量，这有点棘手。

由于该API提供了对敏感数据的访问，并且将作为开放源码软件发布，因此它需要一个自包含的保护。它将用于具有不可信子域的环境中，我不能依赖用户遵循安全准则。

对于无状态服务，我可以使用“Double Submit Cookie”或“Encrypted Token Pattern”-方法。

为了防止“cookie折腾”，Double Submit方法中的令牌需要是可验证的。MiTM攻击是一个额外的威胁，我希望通过只强制HTTPS-Cookie来充分缓解这一威胁。

为了获得攻击者不容易猜测和复制的可验证令牌，我认为像这样的散列令牌应该有效：

pbkdf2_sha256.encrypt($userid + $expire + $mycsrfsecret, salt=$salt)

过期将被设置为7天，之后JWT和CSRF-token都将通过新的登录被续订（它们也将在中间重新登录时被续订）。

另一种方法是向客户机发送一个字符串，该字符串由用户ID、过期和nonce组成，并用服务器端机密加密。在请求时，该字符串会被发送，服务器可以对其进行解密，并验证用户ID和过期时间。

这似乎是更简单的方法，但我不确定如何实现它，我不打算滚动我自己的加密，也没有找到好的例子：

null

Answer 1

使用JWT进行身份验证，用金字塔/檐口编写REST API

虽然我不熟悉这些框架，但我建议您确保JWT令牌是在HTTP头内传递的（例如my-jwt-token:...)，而不是cookie。那么您就不必担心CSRF向量了。

跨站点请求伪造是一个问题，因为浏览器总是倾向于向特定域提交通常包含身份验证信息的cookie。浏览器不会自动提交自定义标头，因此您不必担心。

双提交cookie

您的方法过于复杂，您可以简单地使用GUID。将该GUID放入cookie中，并将其放入请求的任何其他部分。如果它们相等，则CSRF检查通过。您还可以将GUID放入JWT中，然后验证GUID也在Header/Body/Query参数中。

• 我建议hmac，就像在import hmac中一样。我不会费心加密，而只是确保令牌中没有敏感信息。否则PyCrypto可能对您有好处。
• 这就是cookie存在的原因，这再次引发了CSRF问题。如果这是一个很难的要求，那么我建议使用双提交cookie方法。