1. дома
  2. Вопрос и ответ
  3. Зачем требовать токен CSRF при запросах POST?

Зачем требовать токен CSRF при запросах POST?

2014-01-16 25 views
0

Я понимаю, что CSRF запрещает злоумышленнику использовать тэг <img>, чтобы заставить браузер жертвы отправить запрос, который будет аутентифицироваться с использованием файла cookie сеанса. Учитывая, что <img> s всегда отправляются с использованием запроса GET, а не POST, тогда зачем нужно требовать токен CSRF в запросе POST?Зачем требовать токен CSRF при запросах POST?

Кроме того, злоумышленник не сможет отправить форму на веб-странице без возможности запуска кода (например, атаки XSS), и в этом случае они могут обойти защиту CSRF в любом случае.

источник

2014-01-16 simon

+1

Форма POST не подчиняется той же политике происхождения. Они могут размещать форму на * любом * сайте. –

+3

Я думаю, что ваше предположение о том, что CSRF-токены (исключительно), чтобы победить '' '' атаки, неверны.Другие возможные атаки используют javascript на вредоносных сайтах для отправки скрытого запроса POST на целевой сайт или подделанную форму на вредоносный сайт ... –

+0

@JonasWielicki это правда (я все еще обдумываю все это), и есть также '