我们需要公众的URL

我有一个web应用程序，不具有任何形式（禁用Web服务器的所有形式的请求）CSRF保护。它只有很少公开网址（与一些URL GET PARAMS）。没有登录，它不使用任何cookie。我们需要公众的URL

我需要这个Web应用程序CSRF保护？只需要使用Cookie域

2012-10-05 avis

如果它不修改服务器状态或暴露需要某种特权（可能不是这种情况，因为它们是公共的）的数据，则不提供保护是必要的。 – nhahtdh

XSRF或CSRF保护。即使请求来自不受您控制的网页，您的网站的每个请求都会携带您的Cookie。这是最重要的，当你在服务器上修改状态，但也有情况下，它甚至可以在状态没有发生改变的情况下是有用的。

http://j.mp/learn-xsrf包含一个关于XSRF的简短教程，以及如何避免它，并允许您实际尝试它。

在非状态更改请求中可能存在XSRF漏洞的示例是，如果您有用户看到的图像以确定它们位于真实网站上。有些银行会这样做，每个用户的图像都不一样。但是，如果该图像由依赖于cookie的静态url提供，则易受XSRF影响，并且可以轻松托管在攻击者的网站上。您可以通过在URL中包含XSRF令牌来避免此问题。（只为每个用户使用不同的URL是不够的。）

来源

2012-10-15 23:27:33 Vroo

是有一些原因，你还没有接受这个答案？ – Vroo

我们需要公众的URL

回答

相关问题