前后端分离的应用，中间件检查 header 里的 Client 字段就能防止跨站攻击了吗？
rv54ntjwfm3ug8 2022-04-05 18:18:02 +08:00 2341 次点击这是一个创建于 1363 天前的主题，其中的信息可能已经有所发展或是发生改变。
为了跨设备登出方便不想用 JWT ，前端用 Angular 写的，因为 SPA 所有请求都是 ajax 传 csrf-token 不方便。拦截所有请求然后在 Header 里加一个固定的 Client 字段，API 用中间件检测没有这个字段就报错是不是就能防止跨站攻击了？
 | 1 noe132 2022-04-05 18:20:08 +08:00 via Android 理论上是的。 |
 | 2 westoy 2022-04-05 18:31:33 +08:00 API cookie.set csrf-token -> fetch headers.X-CSRFToken = cookie.read csrt-token -> middleware if method!=GET then compare(headers.X-CSRFToken, current_user.csrf-token) 你想的那套方案其实一般就是 SPA 里 csrf 的使用方式...... |
 | 3 rv54ntjwfm3ug8 OP  1 @westoy #2 请问为什么需要通过 API 请求一个 csrf-token 呢？如果放置在 API 请求头的 csrf-token 不通过 API 请求而是使用 hard-code 的静态固定值，校验的时候只检测请求头是否存在 X-CSRFToken 有哪些风险？ |
| 4 westoy 2022-04-05 19:34:19 +08:00 @theklf4 api 不是特定请求， 而是在加载动态内容的时候顺便 set 一下, 固定 API fresh token 的那是 jwt 、oauth 那套 写死的话， 如果每个人都一样， 那有人要专门搞你的话那等于没有， 每个人不一样的话， 那就是 csrf token 啊 |
| 5 rv54ntjwfm3ug8 OP @westoy #4 如果每个人都一样，有人想攻击的话怎么把一样的 csrf-token 给塞进请求头呢？ |
 | 6 walpurgis 2022-04-05 23:30:22 +08:00 2 CSRF 攻击请求是浏览器自动发出的，攻击者无法添加自定义请求头，所以目前来说加一个固定的自定义头是可以防止 CSRF 攻击的 但是如果你的应用安全性要求很高，就不建议用固定的请求头，因为浏览器标准和环境也是会变化的，不能保证未来也是安全的 其实前后端分离模式下，后端接口应该统一通过请求头鉴权，不使用 cookie ，从根本上避免 CSRF 出现 |
Select Language