我可以使用会话cookie代替csrf吗？

文章/答案/技术大牛

发布

1回答

cookies、go、session-cookies、csrf、csrf-protection

我一直在阅读关于使用go和gorilla工具包实现csrf和fiddliN的文章。我还使用gorilla会话，我已经实现了它来将用户id存储在加密的cookie中。cookie被解密，我使用我编写的中间件从数据库中获取用户，其中包含现在未加密的密钥值存储…… 如果用户通过oauth2提供者通过身份验证创建会话cookie，如果所有需要这种保护的视

浏览 20提问于2017-03-15得票数 0

回答已采纳

2回答

我们能不能在不提交表格的情况下通过邮递员获得CSRF令牌？

javascript、api、web-scraping、postman、csrf

因此，我知道可以生成csrf令牌的API。是否可以通过邮递员发送CSRF令牌。因为据我所知，csrf令牌用于停止伪造请求。站点有一个带有csrf令牌隐藏字段的表单，当表单提交时，浏览器从该隐藏字段获取令牌，并像这样工作。 1)是否可以通过邮

浏览 3提问于2018-07-25得票数 6

3回答

避免CSRF令牌

caching、csrf、varnish、csrf-protection

我有一个场景，我已经有了CSRF令牌，但我必须删除它。在电子商务中，产品页面由Varnish缓存，所以如果用户直接登录到这里，他将没有会话ID来验证令牌。在这个页面中，我有一个“添加到购物车”按钮，它有CSRF令牌，但当然它是用错误的令牌缓存的。我的问题是:还有另一种方法可以在不依赖与令牌一起隐藏的输入的情况下获得CSRF保护吗？

浏览 2提问于2014-03-01得票数 0

3回答

Django CSRF cookie HttpOnly

django、csrf、httponly

可以将django csrf cookie设置为仅http-only吗？类似于使用会话cookie的SESSION_COOKIE_HTTPONLY，但对于csrf one？

浏览 0提问于2012-06-02得票数 14

回答已采纳

1回答

Set环-抗伪造CSRF报头令牌

clojure、header、csrf、middleware、ring

我试图通过在标头中设置X来实现库。来自自述状态的指令： (get-in

浏览 1提问于2013-12-06得票数 13

回答已采纳

1回答

Django Rest框架不接受我的CSRF令牌

python、django、cookies、django-rest-framework、csrf

我正在尝试使用Django Rest框架构建一个单页面应用程序。对于身份验证，我使用了一个登录视图，它启动一个会话，并要求所有api路由上的csrf保护。因为没有进行模板操作，所以从未使用过csrf_token标记，所以我必须使用get_token手动获取令牌。我不想把它放在主视图中给出的主索引文件中，而是把它设置在它自己的cookie上。不，这不是django提供的CSRF <e

浏览 3提问于2019-04-26得票数 2

1回答

这是在Next.js应用程序中防止CSRF攻击的有效方法吗？

http、next.js、csrf、csrf-token

我正在构建一个Next.js应用程序，在其中一个页面上，我需要调用一个/api路由。当用户登录时，会生成一个随机的32字节十六进制字符串。它存储在会话对象中(使用铁会话)。使用getServerSideProps()，将存储在会话中的字符串注入需要进行提取调用的

浏览 35提问于2022-08-10得票数 1

回答已采纳

2回答

使用会话到期的PHP令牌

php、jquery、ajax、session

php echo $_SESSION['csrf_token']; ?>">if (!我假设它失败了，因为$_ session‘’csrf_token‘变量是空的，因为会话本身不再存在。这就是问题所在。我已经找到了几种解决方案，这些解决方案可能会奏效，但看起来相当“烦人”。一种解决方案是在用户在某些不活动之后返回页面

浏览 1提问于2018-02-02得票数 1

回答已采纳

2回答

如何在没有会话cookie的情况下使用WTForms和CSRF？

python、flask、cookies、session-cookies、flask-wtforms

我有一个非常简单的应用程序，没有用户管理或任何酒瓶登录需求。它有表格，WTForms。我想做的就是收集一些由表单提交的数据。从技术上讲，我可以禁用CSRF验证，但是WTForms确实建议我不要。我想在浏览器中禁用烧瓶会话cookie，因为它似乎没有必要，我需要放置一个cookie横幅以满足GDPR的要求。_30lDKngxLlM">，CSRF令牌验证和<em

浏览 9提问于2022-02-19得票数 1

回答已采纳

5回答

合法用户如何在Rails中提交无效的CSRF令牌？

ruby-on-rails、csrf

我的假设是，存储在用户会话cookie中的CSRF令牌在加载表单之后但在提交之前已经发生了更改。这会导致POSTed令牌与cookie中的令牌不匹配，从而导致此错误。如果Rails会话cookie仅在浏览会话结束时(即当web浏览器关闭时)到期，那么在不关闭浏览器的情况下，如何更改此cookie (及其包含的CSRF令牌)？我们使用cookie来存储会话数据，这是

浏览 11提问于2017-01-05得票数 10

回答已采纳

1回答

如果使用HTTPOnly cookie，是否需要CSRF中间件？应该是基于会话的吗？

security、cookies、xss、csrf

现在授权显示如下:如果用户输入正确的数据，服务器将生成一个唯一的sessionKey，并将其插入到这个用户的FK会话表中。作为对JSON请求的响应，我发送这个sessionKey。web客户端将此密钥设置在cookie中。但问题是，如果web客户端存储这个cookie，JS将能够访问它们，这是不安全的。另一种方法是设置仅HTTP的cookie。但目前尚不清楚在这种情况下是否需要使用CSRF中间件。HTTPOnly属性解决了XSS / CSRF</em

浏览 2提问于2021-11-12得票数 1

回答已采纳

3回答

用于弹簧安全和AngularJS的CSRF/XSRF保护

angularjs、spring、spring-security、csrf、x-xsrf-token

我试图将CSRF/XSRF保护添加到我的应用程序中，但是遇到了奇怪的行为。所有get请求都正常工作，但在所有post/put/delete上，我得到403个未经授权的请求。最奇怪的是，当我尝试调试我的CSRF过滤器时，请求没有到达它，它们在前面的某个地方被拒绝。他们甚至达不到我的认证过滤器，所以我不知道问题可能是什么。我的安全配置： public void configure(HttpSecurity ht

浏览 0提问于2017-09-09得票数 0

回答已采纳

2回答

关于Django的CSRF保护的问题

django、security、csrf

为什么需要专用的CSRF cookie？为什么CSRF随机数要绑定到会话ID？Django会这样做吗？似乎暗示CSRF现时值需要绑定到会话ID (例如，CSRF现时值=会话ID的键控散列)。为什么会这样呢？Django是否将其CSRF nonce绑定到会话ID？为什么Dj

浏览 0提问于2011-05-20得票数 7

回答已采纳

2回答

如何用CSRF测试快递邮件？

javascript、express、supertest

我试图为我的服务器端表单验证编写一个测试，但是我一直收到一个禁止的错误。这似乎需要一个2步的过程。步骤1，从表单中获取CSRF值。第2步，使用CSRF值向表单处理程序发送。然而，无论我如何尝试张贴，我得到一个禁止的错误。-全面测试：.send({name: 'foo', 'X-CSRF-Token': token}) .set('X-<em

浏览 0提问于2014-04-17得票数 6

回答已采纳

1回答

如何为由spring引导生成的XSRF令牌cookie设置最大年龄？

angularjs、spring-boot、csrf

我正在启用csrf保护，并使用spring引导设置XSRF令牌cookie。为了获得更好的安全性，我应该将XSRF令牌存储在会话中而不是cookie中吗？以AngularJS为前端，回弹为后置，做<e

浏览 0提问于2019-02-02得票数 2

3回答

CSRF双提交Cookie基本上是“不安全”的

api、security、csrf

从：CSRF攻击起作用，因为浏览器请求自动包含所有cookie，包括会话cookie。在我发现的一些示例代码中，基本上找到了这个算法。攻击者: 然后，攻击者窃取此会话cookie作为受害者登录。双重提交<e

浏览 3提问于2021-01-22得票数 6

3回答

用TokenAuthentication作为唯一的方法请求CSRF令牌

python、django、django-rest-framework

我唯一的DRF系统是TokenAuthentication，它仍然要求一个基于函数视图的CSRF令牌。我对基于类的观点没有这个问题。应邮递员的要求：[04/Nov/2020 02:05:38] "POST /rest/submit_vote我没有任何待处理的移民。

浏览 4提问于2020-11-04得票数 1

1回答

无效的请求状态: oauth2 flask

python、flask、oauth-2.0、google-oauth

我使用以下代码通过oauth 2.0进行身份验证 app, authorize_callbackobtaining user profile: %s" % resp)我可以看到同意屏幕state=%7B%22

浏览 0提问于2016-04-10得票数 2

4回答

在cookie中存储反CSRF令牌

web-application、csrf

我在每个会话中生成一个随机的反CSRF令牌，并将其存储在cookie中(设置了http_only标志)。然后，我将该令牌添加到窗体(在隐藏的输入字段中)和链接中。当在服务器上接收请求时，我检查表单或链接的cookie和反CSRF令牌字段是否存在，并且这两个值是否相同；如果不是，它被认为是CSRF攻击，并且请求被拒绝并带有适当的消息。我认为攻击者无法读取或设置他不拥有的域的cookie，因此他无法伪造

浏览 0提问于2013-03-18得票数 9

点击加载更多