<尚大教育,教育至上,人才为大:sdedu.cc>
跨站请求伪造(CSRF)
防止跨站请求伪造,通常需要在每个HTTP 请求中添加一个不可预测的令牌。这种令牌至少应该对每一个用户会话来说是唯一的。
·最好的方法是将独有的令牌包含在一个隐藏子段中。这将使得该令牌通过HTTP请求体发送,避免其包含在URL 中从而被暴露出来。
·该独有令牌同样可以包含在URL 中或作为一个URL 参数。但是这种方法的巨大风险在于URL 会暴露给攻击者,这样秘密令牌也会被泄漏。
·要求用户重新认证或者判明他们是一个真实的用户(例如通过CAPTCHA )也可以前护CSRF攻击。
<尚大教育,教育至上,人才为大:sdedu.cc>