防止CSRF漏洞，CSRF的替代方法令牌

Question

防止CSRF的常见方法是使用隐藏在表单中的令牌。仅仅因为好奇，这是实际阻止CSRF的唯一途径吗？人们争论CSRF令牌不需要让我发疯，我需要理解为什么。我怎样才能防止CSRF攻击？

Answer 1

实际上使用CSRF令牌只是另一个防御层。根据OWASP Cross-Site Request Forgery (CSRF) Prevention Cheat Sheet，验证请求源也可用于CSRF保护。为了验证起源，我们可以使用，

1. Origin标
   • 的 Origin header包括发起请求的方案，主机和端口的信息。
2. Referer标头
   • 的Referer header包含以前的网页从一个链接到当前请求的网页之后的地址。

但也有在使用这种方法，如头部的可用性和完整性限制。攻击者可以通过这些方法来更改这些标头的值。因此建议始终有多层防御。