如何在以 API 为中心的 Web 应用程序中防止 CSRF

Question

我希望使用以 API 为中心的架构构建一个 Web 应用程序。

应用程序的前端会使用 AJAX 向 REST API 发出请求。

其他客户端也将 API 用于各种目的。我认为 CSRF 令牌的使用可能不适用于它们的实现。

其他方法包括验证标头中的来源，但当然，标头很容易被欺骗。

我怎样才能为此应用程序实施强大的 CSRF 预防策略？

Answer 1

一些提议：首先你可以使用像GET api/gime-csrf这样的api-url，它返回CSRF令牌作为响应，并将它设置在http-only cookie中（所以JS无法访问它 - 但记住要阻止服务器中的TRACE请求防止 XST 攻击）。然后，当您发出一些“保存状态”请求时，例如 POST/PUT/PATCH - 您只需将 CSRF 放入某个请求标头中 - 在服务器中您将标头令牌值与 cookie 令牌值进行比较。