关闭登录页面上的csrf/authenticity_token保护

我们正在考虑关闭登录页面上的csrf/authenticity token保护。（可能在登录帖子动作中使用skip_before_filter）。这将允许我们从我们网站上的静态html页面发布信息。这有什么安全影响？看起来，如果我们只关闭登录帖子，就没有太多的恶意行为可以完成。关闭登录页面上的csrf/authenticity_token保护

来源

2012-06-05 rmw

@apneadiving那不是一个机器人能够做到这一点了吗？它需要每次加载页面以获得新的令牌，但仍然如此。据我所知，CSRF不会限制登录尝试，它只是防止重放攻击 – Flambino

并且使用csrf标记它是一个2行机械化脚本。 Csrf是关于凭证劫持，这显然不是一个问题在这里 –

@apneadiving你似乎不明白CSRF的实际是什么。 – Gumbo

CSRF令牌并不旨在阻止漫游器！ CSRF（跨站点请求伪造）是一种攻击，例如欺骗性的formular/url被触发，例如，由一个无形的iframe。在弱系统上，这会让攻击者更改主页上的配置。

让我描述一个示例攻击：网店的管理员登录到他的管理员帐户。攻击者现在向他发送一封包含虚假主页链接的邮件。当管理员进入页面时，JavaScript将数据发送到他将发送表单以创建新的管理用户的URL，并且JavaScript将发送所有需要的数据，如新用户名，新密码等。管理员已登录，所以从网店的角度来看，管理员会创建一个普通的新管理员帐户。从管理角度来看，什么都没发生，因为都发生在后台。 CSRF令牌以这种方式防止表单被攻击。

你可以阅读了很多关于CSRF维基百科：http://en.wikipedia.org/wiki/Cross-site_request_forgery

来源

2012-06-06 21:37:44 thebod

关闭登录页面上的csrf/authenticity_token保护

回答

相关问题