Access-Control-Allow-Origin是否足以防止XSRF攻击？

Question

我们正在用运行在JBoss中的Java Spring/Hibernate后端构建一个应用程序。前端是AngularJS。

我们还没有在服务器端设置XSRF令牌。我们也没有（无论如何还没有）允许其他域访问我们的web资源的要求。

我想我会试着看看我们的站点是否容易受到XSRF攻击，所以我设置了一个恶意的webapp，使用Angular的$http.post（）发布到我们真正应用程序的URL中。我登录到真正的应用程序，然后我试着从恶意应用程序发帖。

在浏览器中，我得到了一个401响应，并看到了错误：

XMLHttpRequest cannot load http://localhost:8080/user/delete. No
'Access-Control-Allow-Origin' header is present on the requested resource.
Origin 'http://localhost:6543' is therefore not allowed access. The response
had HTTP status code 401.

服务器端没有设置为在响应上设置Access-Control-Allow-Origin，因此出现上述错误。

所以我的问题是，仅仅从响应头中省略Access-Control-Allow-Origin就足以防止XSRF攻击了吗？

是否有一种方法，即使没有设置Access-Control-Allow-Origin，我仍然可以对我的站点进行XSRF攻击？如果是，怎么做？我想演示一下这个攻击。

谢了。

Answer 1

不，这还不够。即使浏览器给出'Access-Control-Allow-Origin'错误，该请求仍然是由浏览器发出的。如果攻击页指定了with Credentials:

$http.post(url, {withCredentials: true, ...})

然后，此请求将与受害者的身份验证cookie一起发送到您的域，这意味着对http://www.example.com:8080/user/delete的请求将成功。

此外，也可以使用标准HTML表单在没有XHR的情况下发出此请求：

<form method="post" action="http://www.example.com:8080/user/delete">

保护系统免受CSRF攻击的一种简单方法是检查自定义头，如x-requested-with或origin头。x-requested-with不能在不启用CORS服务器端的情况下跨域发送。但是，Synchronizer令牌模式仍然是防止CSRF的最强方法，因为它不会受到浏览器插件中的缺陷的影响，例如Flash中以前允许发送通常无法从浏览器发送的头的缺陷。