Ketahui tentang CSRF
Saya tidak faham bagaimana menggunakan "token cabaran" menambah sebarang jenis pencegahan: apakah nilai yang harus dibandingkan dengan apa?
Daripada OWASP:
Secara umumnya, pembangun hanya memerlukan Hasilkan token ini sekali Sesi semasa. Selepas permulaan Penjanaan token ini, yang nilainya disimpan dalam sesi dan digunakan Untuk setiap permintaan seterusnya, sehingga Sesi tamat tempoh.
Jika saya faham prosesnya dengan betul, inilah yang berlaku.
Saya log masuk ke http://example.com dan mencipta sesi/kuki yang mengandungi token rawak ini. Setiap borang kemudiannya mengandungi input tersembunyi yang juga mengandungi nilai rawak daripada sesi, yang dibandingkan dengan sesi/kuki pada penyerahan borang.
Tetapi apakah yang boleh dicapai? Bukankah anda hanya mendapatkan data sesi, memasukkannya ke dalam halaman, dan membandingkannya dengan data sesi yang sama? Nampak seperti penaakulan bulat. Artikel ini terus bercakap tentang mengikuti "dasar asal yang sama" tetapi itu tidak masuk akal kerana semua serangan CSRF berasal dari pengguna dan hanya menipu pengguna untuk melakukan sesuatu yang dia tidak berniat.
Adakah terdapat pilihan lain selain menambahkan token sebagai rentetan pertanyaan pada setiap URL? Kelihatan sangat hodoh dan tidak praktikal, dan menyukarkan pengguna untuk menanda halaman.
