csrf保护

Question

有相当多关于preventing CSRF的文章。

但我就是不明白:为什么我不能解析目标页面表单中的csrf令牌，并将其与我的forge请求一起提交？

Answer 1

如果您能够将脚本代码注入到目标页面(XSS)中，那么可以这样做，从而使CSRF预防无效。

CSRF令牌必须存储在最终用户接收的页面中(否则他也不会知道)。

事实上，在安全评估中，XSS通常不是评估其自身的破坏潜力，而是评估其在此类攻击中的使用情况。

Answer 2

CSRF攻击是盲目的。它们执行会话骑乘，攻击者无法直接控制，除非他可以通过XSS漏洞提取令牌。通常可以使用会话范围内的令牌。每个请求轮换令牌可能是一种过度杀伤力，并可能导致错误警报。我更喜欢将每个资源的令牌与主会话令牌一起使用。

Answer 3

因为CSRF标记的值事先是不知道的。