使用不同的HTTP方法防止CSRF？

我在我的网站上使用AJAX和令牌来防止CSRF。是否有任何意义使用不同的HTTP方法，而不是POST来增加对CSRF的保护？或任何其他攻击？使用不同的HTTP方法防止CSRF？

假设：我们使用不同的安全令牌和常量的HTTP方法。为什么不把它变成可变的？如果一个坏人通过POST方法发送数据，但服务器等待来自这个特定用户的PUT方法。

2016-06-09 o0o0o

为什么不[google]（https://www.google.de/search?q=Cross-Site+Request+Forgery+prevention+methods）呢？ – JohannesB

其关于安全令牌的所有信息，当我问到HTTP方法时 – o0o0o

'特别适合于AJAX端点的替代防御是使用自定义请求头。这种防御依赖于同源策略（SOP）限制，只有JavaScript可以用于添加自定义标题，并且只能在其起源之内。默认情况下，浏览器不允许JavaScript发出跨源请求。一个特别有吸引力的自定义头和使用的值是：''X-Requested-With：XMLHttpRequest'对我来说就像一个HTTP方法。在谷歌的第一篇文章。尽管如此，只使用它作为支票是不好的做法。 – JohannesB

从安全的角度来看，数据如何传输到服务器是完全没有区别的。所以，答案是否。

来源

2016-06-09 22:42:50 LibertyPaul

使用不同的HTTP方法防止CSRF？

回答

相关问题