一.跨站点请求伪造
假如一家银行用以运行转账操作的URL地址如下:http://www.examplebank.com/withdraw?account=AccoutName&amount=1000&for=PayeeName
那么,一个恶意攻击者可以在另一个网站上放置如下代码:
如果有账户名为Alice的用户访问了恶意站点,而她之前刚访问过银行不久,登录信息cookie,session尚未过期,那么她就会损失1000资金。
1.客户端使用用户名跟密码请求登录
2.服务端收到请求,去验证用户名与密码
3.验证成功后,服务端会签发一个 Token,再把这个 Token 发送给客户端
4.客户端收到 Token 以后可以把它放在 Cookie 里存储起来,
5.客户端每次向服务端请求资源的时候需要带着服务端签发的 Token
6.服务端收到请求,然后去验证客户端请求里面带着的 Token,如果验证成功,就向客户端返回请求的数据
7.同时也向客户端发送新的token值,每次客户端请求后,服务端都会给客户端一个新的值。
关于csrf ,跨站点请求伪造保护
最新推荐文章于 2023-04-01 21:32:27 发布