如何解决CSRF安全性取决于前端吗?
我试图弄清楚我是否完全正确地了解CSRF安全性。基于:
在所有情况下,您的前端似乎都必须在某处放置CSRF令牌,以便将请求发送到后端时,它可以将cookie /会话中的csrf令牌与该请求进行比较。 这样,当攻击者尝试代表登录的用户创建请求时,由于他们在请求中没有令牌,因此将无法对其进行验证。
这意味着要实现CSRF,您需要同时配置前端和后端。
现在让我说我想在后端完成所有CSRF安全性,而不更改前端吗?
如果我的前端应用程序与后端分离,我是否还需要担心CSRF攻击?
解决方法
CSRF是前端和后端之间的协作。这是为了验证请求是否来自您网站上的实际用户,而不是有人恶意强迫用户执行某项操作。例如,在另一个网站上有一个表单,该表单会向银行网址提交过帐请求以进行转帐(通常的例子),如果该用户仍在登录该银行,它将在没有CSRF检查的情况下进行转移。
简而言之,CSRF:您在后端生成随机的内容,并在用户会话(服务器端)中进行设置。然后,当您生成表单时,会将此值包括为隐藏字段。
提交此表单后,您可以将其与会话中存储的值进行比较,这样您就知道该用户实际提交了该表单。
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。