鍍金池/ 問答/Python  Linux  網(wǎng)絡安全/ 關(guān)于csrf的幾點困惑

關(guān)于csrf的幾點困惑

在做網(wǎng)站時針對csrf的問題,有幾點困惑

1.以一個簡單的文章管理為例
clipboard.png
刪除或編輯時,通常采用的是如下的get傳值的方式.

<a href='/delete?id=3'>刪除</a>

這種方式都存在csrf的漏洞.該怎么防范了,不是要每個get網(wǎng)址后加token參數(shù)吧.或者類似操作全部改成post方式?

2.token 如何實現(xiàn)并行會話兼容,我在網(wǎng)上找不到相應的案例和代碼,一點思路也沒有.

3.大家通常在項目怎么處理csrf的安全問題了

回答
編輯回答
孤酒

  1. 一個頁面給一個token差不多了，POST并不能防止CSRF，因為可以用js生成表單post提交。

  2. session（對同一個session生成同樣的token）

  3. 提交數(shù)據(jù)的時候帶上頁面里面注入的token，服務端驗證。

2017年8月1日 00:26