带有CORS源报头的CSRF保护与CSRF令牌
示例：
- 爱丽丝通过浏览器登录到“https://example.com”（使用cookie）。我想，她使用的是现代浏览器。
- 爱丽丝访问“https://evil.com”，而evil.com的客户端代码对“https://example.com”执行某种请求（经典CSRF场景）。
所以：
-
null
-
null
共有1个答案
如果我们相信W3C规范在所有现代浏览器中都能正确实现，那么XHR就不可能做到这一点（例如，请参见跨起源资源共享的安全性），至少不可能做到这一点（我们能做到吗？）
在一天结束时，您必须“信任”客户端浏览器来安全地存储用户的数据并保护会话的客户端。如果您不信任客户端浏览器，那么您应该完全停止使用web来处理静态内容以外的任何内容。即使使用CSRF令牌，您也相信客户端浏览器能够正确地遵守相同的源策略。
虽然以前存在过浏览器漏洞，例如IE 5.5/6.0，攻击者可以绕过相同的源策略并执行攻击，但您通常可以期望这些漏洞一经发现就会被修补，并且大多数浏览器会自动更新，因此这种风险将会大大降低。
但是其他类型的请求呢--例如表单提交？正在加载脚本/img/...标签？或者页面可以用来（合法）创建请求的任何其他方式？或者是一些已知的JS黑客？
origin头通常只为XHR跨域请求发送。映像请求不包含标头。
注意：我不是在说
-
CSRF是指针对Web应用程序的跨站点伪造攻击。 CSRF攻击是系统的经过身份验证的用户执行的未授权活动。 因此，许多Web应用程序容易受到这些攻击。 Laravel以下列方式提供CSRF保护 - Laravel包含一个内置的CSRF插件，可为每个活动用户会话生成令牌。 这些令牌验证相关的经过身份验证的用户是否发送了操作或请求。 实现 (Implementation) 本节将详细讨论Laravel
-
简介 Laravel 可以轻松地保护应用程序免受 跨站点请求伪造 (CSRF) 攻击，跨站点请求伪造是一种恶意攻击，它凭借已通过身份验证的用户身份来运行未经过授权的命令。 Laravel 会自动为每个活跃用户的会话生成一个 CSRF「令牌」。该令牌用于验证经过身份验证的用户是否是向应用程序发出请求的用户。 无论何时，当您在应用程序中定义HTML表单时，都应该在表单中包含一个隐藏的CSRF标记字段，
-
我读到，当使用JWT时，不需要防止CSRF攻击，例如：“由于您不依赖cookie，您不需要防止跨站点请求”。 但是，有一点我不明白：如果我将令牌存储在localStorage中（正如我在同一网站的教程中被告知的那样），那么攻击者如何防止通过读取我的localStorage而不是Cookie来伪造恶意请求呢？ 由于它是在服务器端生成的，我不知道如何在客户机请求中使用令牌而不将其存储在客户机的某个地方
-
我目前添加了一个CSRF令牌保护机制到我的php应用程序。正如我所读到的，唯一的要求是一个独特的每个用户令牌，我在php7中使用random_bytes生成。 我担心的是，如果攻击者使用用户的浏览器发送http请求，浏览器不会发送令牌的会话变量吗？（因为用户具有与令牌关联的sessionid）。 我将令牌存储在会话变量的一个隐藏值内。 例如：我的令牌存储在会话变量中，然后攻击者将我发送到具有csr
-
我正在AngularJS SPA中使用资源所有者密码凭证OAuth 2.0流。有几篇文章（这里，这里…）这个问题的答案解释了我们不应该将刷新令牌存储在（web）客户端（LocalStorage）上，而是将它们加密存储在HttpOnly Cookie中，并使用代理API实现对refreh令牌的解密，从而将其转发给安全令牌服务。 大多数文章都暗示我们应该使用一种常见的保护机制来关注CSRF。我想知道单
-
我正试图用crsf令牌保护我的Zend表单。如果我在表单中添加token元素，它总是会向我返回notEmpty错误消息。我做错什么了吗？谢谢 控制器中的操作： 在我看来，我呈现表单并转储错误消息 每次验证表单后，我都会收到如下错误消息： 如果我给元素填充了正确的值，最后一个错误总是token-NotEmpty，因此我的表单永远无效。