如何防范CSRF

Question

如何保护我的网站免受跨站点请求伪造攻击？我正在访问一个“正常”的网站。(f.e.normal.php)在后台加载另一个网站(f.e。send/send_注释)，在这里我已经登录。该网站使用JS填充victim.php的评论框，并自动发送请求。

在网络中，我总是发现使用令牌对抗CSRF的诀窍。但是在本例中，网站normal.php将在加载其他网站时获得令牌。我是不是误解了标记的工作原理？如果没有，我如何阻止我的网站接受这个请求？

Answer 1

CSRF的全部思想是，如果没有访问过的前一页的令牌，就无法获得victim.php/send_comment。

从初始登录到到达，每个请求都由前一个请求授权--除非您拦截了登录页面，否则不应该有伪造请求的方法。

最简单和最安全的方法是仅仅使用一个为您处理CSRF的web框架。手工操作可能是不必要的，而且容易出错。