如何使用同步器令牌模式来防止CSRF安全？

Question

我一直在阅读有关使用同步器令牌模式来防止CSRF（CSRF意味着跨站点请求伪造）的内容，我不明白它到底是怎么安全的。

假设我有一个伪造的银行网站。具有两个URL的com：

• fakebank。com/form。html-显示取款表单的GET请求
• fakebank。com/doWithdraw-发布到此url以执行撤消操作

我对安全漏洞的理解是，maliciousSite。com可以向伪造银行伪造POST请求。com/doWithdraw，如果您当前登录到fakebank，则发布将成功。

假设我们实现了一个同步器令牌模式，它将在fakebank.com/withdrawForm.html上嵌入一个秘密代码。不能maliciousSite.com只是欺骗该表单的GET请求，解析html结果，获取令牌，然后用该令牌创建POST请求吗？

这是假币银行。com没有检查HTTP引用者、来源或恶意站点。com正在成功欺骗推荐人/来源是伪造银行。通用域名格式。

Answer 1

这正是重点。浏览器中的相同起源策略不允许对其他站点的GET请求。因此，没有任何网站可以从其他网站获取CSRF令牌，只是在浏览器中使用JavaSept。

Answer 2

这是安全的，恶意的ite.com不能简单地做一个GET，窃取令牌，然后做一个POST的原因是请求是由用户的浏览器完成的，而不是由服务器在maliciousSite.com。从fakebank.com返回的所有数据返回到用户的浏览器，而不是在maliciousSite.com的服务器。如果maliciousSite.com执行GET以检索令牌，则它将是与发给用户的令牌不同的令牌。maliciousSite.com无法将此cookie设置为提交到fakebank.com，因为同域限制。

CSRFPOST攻击通过诱骗用户的浏览器请求fakebank来工作。com/form。html直接使用格式正确的POST请求。服务器位于fakebank。com愉快地执行请求的POST，从而使用POST正文中提供的参数（其中包括由maliciousSite.com放入的属于攻击者的目标帐户）转移资金。位于恶意站点的服务器。com不需要查看返回的数据，因为已经采取了操作（除非fakebank.com使用这些CSRF令牌，maliciousSite.com不可能知道这些令牌，除非它以某种方式被泄露。它无法请求）。如果<代码>伪造银行。com正在使用CSRF令牌，然后是恶意站点。com将提交一个缺少令牌的POST请求，从而表明正在进行潜在的CSRF攻击。

此方法的漏洞包括使用未充分保密且以某种方式泄露的CSRF令牌。此外，如果CSRF令牌不够随机，则maliciousSite。com可能会猜到。此外，如果浏览器在执行相同的域策略时存在弱点，则可能会利用此漏洞。一般来说，现代浏览器不容易受到这种攻击。

如果这是一个不充分的解释，请让我知道，我会尝试更好地表达它。