跨站伪造请求CSRF(Cross-site request forgery)

最新推荐文章于 2023-03-04 07:08:42 发布

CauchyBDS

最新推荐文章于 2023-03-04 07:08:42 发布

阅读量260

点赞数

分类专栏：网络安全

网络安全专栏收录该内容

25 篇文章 4 订阅

订阅专栏

CSRF是说攻击者可以利用别人的权限去执行网站上的操作，例如删除资料。例如，攻击者张贴了以下脚本到网页上：

<img src="/posts/delete_all">

攻击者自己当然是没有权限可以执行”/posts/delete_all”这一页，但是网站管理员有。当网站管理员看到这一页时，浏览器就触发了这个不预期的动作而把资料删除。
要防范CSRF，首先可以从区别GET和POST的HTTP请求开始。我们在路由一章提过：所有读取、查询性质操作，都应该用GET，而会修改或删除到资料的，则要用POST、PATCH/PUT或DELETE。这样的设计，就可以防止上面的恶意程式码了，因为在浏览器中必须用表单form才能送出POST请求。
不过，这样还不够。因为即使是POST，浏览器还是可能不经过你同意而自动发送出去，例如：

<a href="http://www.harmless.com/" onclick="
  var f = document.createElement('form');
  f.style.display = 'none';
  this.parentNode.appendChild(f);
  f.method = 'POST';
  f.action = 'http://www.example.com/account/destroy';
  f.submit();
  return false;">To the harmless survey</a>

所幸，Rails内建了CSRF防御功能，也就是所有的POST请求，都必须加上一个安全验证码。在app/controllers/application_controller.rb你会看到以下程式启用这个功能：

class ApplicationController < ActionController::Base
  protect_from_forgery with: :exception
end

这个功能会在所有的表单中自动插入安全验证码：

<form action="/projects/1" class="edit_project" enctype="multipart/form-data" id="edit_project_1" method="post">
    <div style="margin:0;padding:0;display:inline">
    <input name="_method" type="hidden" value="patch" />
    <input name="authenticity_token" type="hidden" value="cuI+ljBAcBxcEkv4pbeqLTEnRUb9mUYMgfpkwOtoyiA=" />
</div>

如果POST请求没有带正确的验证码，Rails就会丢出一个ActionController:InvalidAuthenticityToken的错误。
Layout中也有一段<%= csrf_meta_tags %>是给JavaScript读取验证码用的。