带有JWT auth和csrf令牌的Spring boot无状态应用程序
我有一个带有JWT auth的Spring boot应用程序，非常好用！但我用无状态策略禁用了csrf：
.csrf()
.disable()
.sessionManagement()
.sessionCreationPolicy(SessionCreationPolicy.STATELESS)
这个Rest应用编程接口是为SPA反应应用程序设计的。我读到当我使用JWT令牌时，我不需要设置csrf令牌。JWT是否像csrf保护一样工作？我认为这不是csrf保护。
共有1个答案
CSRF攻击利用浏览器总是在对请求服务器的请求（包括会话ID）中包含cookie这一事实，因此攻击者在执行恶意操作时假装自己是genune用户。
如果你的endpoint是无状态的（这意味着你没有使用cookies进行身份验证），那么你就不需要CSRF保护。
-
问题内容： 我正在尝试在我的项目中实现csrf保护，但无法使其与jQuery Ajax一起使用。（不过，它适用于普通的帖子请求） 如果在发送表单之前使用chrome开发工具篡改令牌，则仍会看到“正在处理数据”文本，而不是错误。 app.js send.jade test.js 问题答案： 在有效负载消息中发送CSRF令牌： 为了简化您的工作，我认为您可以创建一个Jquery插件来执行此操作，如下所
-
示例： 爱丽丝通过浏览器登录到“https://example.com”（使用cookie）。我想，她使用的是现代浏览器。 爱丽丝访问“https://evil.com”，而evil.com的客户端代码对“https://example.com”执行某种请求（经典CSRF场景）。 所以： null null
-
问题内容： 我正在尝试从CSRF保护应用程序（PHP和许多JS）。 我想使用令牌。 AJAX完成了许多操作，因此我必须在Javascript中传递令牌。如果我想为每个会话或每个页面加载生成1个令牌，这很简单- 我生成一个新令牌，将其放在DOM中的某个位置，然后使用Javascript查找并发送到处理端。 但是，如果我想为每个操作使用新令牌怎么办？我正在考虑进行ajax调用以重新生成令牌，然后将结果
-
问题内容： 我有2个html页面。 父页面和子页面。子页面包含一个提交按钮，该按钮在父页面上运行代码以提交Ajax消息。 我使用$ .load（）方法加载子页面，然后在单击按钮时运行$ .ajax .POST方法。此post方法仅将JSON字符串传递给Python代码。 当我在除IE以外的任何浏览器上执行此操作时，它工作正常。但是，当我在IE中运行此代码时。我收到有关CSRF令牌的Python /
-
有可能保护无状态REST API免受XSS和CSRF攻击吗？ 目前，我使用存储在secure/httpOnly cookie中的JWT令牌进行无状态身份验证。这应该可以保护API免受最常见的XSS攻击：使用XSS注入的JavaScript窃取Cookie并将其发送给攻击者。 然而，这并不能保护API免受CSRF攻击，在这种攻击中，攻击者会欺骗经过身份验证的用户跟踪特定web API调用的链接，从而
-
当应用程序依赖于无状态身份验证（使用类似HMAC的东西）时，是否有必要使用CSRF保护？ 示例： > 我们有一个单页应用程序（否则我们必须在每个链接上添加令牌:。 此内标识将用于访问诸如之类的受限URL。 令牌将始终在HTTP头内传输。 没有Http会话，也没有cookie。