首頁 >後端開發 >php教程 >防站外提交(csrf)有什么好办法?

防站外提交(csrf)有什么好办法?

WBOY
WBOY原創
2016-06-06 20:47:451153瀏覽

需要代码,如何防止站外提交数据

回复内容:

需要代码,如何防止站外提交数据

比较常见的方法是给每个需要提交数据的表单产生一个hashkey,提交的时候一起带上就行。

  1. 检查 referrer header
  2. 如果用户的id是用户以外的其他人看不到的,可以在请求里带上用户的id
  3. 请求里带上一个token,token可以是绑定用户,也可以是每次请求生成(*)
  4. 提交请求后,服务器确认后再执行请求对应的操作,例如弹出对话框要求用户确认
  5. 提醒用户在访问你的网站的时候不要访问其他站点
  6. 提醒用户及时登出
  7. 用户关闭页面后就登出用户
  8. 用户一定时间未操作就登出用户

* token每次生成比较头痛的就是并行兼容的问题,如何对付客户用多个标签页浏览同一网页时,各个标签页的行为一致,需要小心处理。我喜欢折中一下,token采取绑定用户+超时,但不绑定请求的方式。保持一定便利性的同时,简单降低token长期不变带来的回放攻击的风险。 @沙渺

Django 提供了 CSRF 的框架,默认 POST 请求都需要带上 token 才行。

给你参考一下:https://docs.djangoproject.com/en/dev/ref/contrib/csrf/

请求带上一个token,token可以考虑绑定用户,提交请求后,服务器确认后再执行请求

额,使用x-csrf-token这个HTTP header。。。

个人觉得站外提交根本就不能防止,这是我曾经问的一个问题http://segmentfault.com/q/1010000000353407,个人认为插入和服务器端的SESSION一样的本地HASH值也不行,毕竟Chrome一按F12就可本地修改代码了,最重要的还是服务器端进行验证客户端提供的参数

陳述:
本文內容由網友自願投稿,版權歸原作者所有。本站不承擔相應的法律責任。如發現涉嫌抄襲或侵權的內容,請聯絡admin@php.cn