在 OAUTH2 的情况下是否需要 CSRF 保护

【问题标题】：Is CSRF protection needed in case of OAUTH2在 OAUTH2 的情况下是否需要 CSRF 保护
【发布时间】：2018-01-19 02:44:10
【问题描述】：

我有一个REST application 使用Spring Boot 创建并受Spring Security Oauth2 支持保护。我使用Cloudfoundry UAA 作为第三方令牌提供者。

应用程序中没有会话，每个请求都必须附带UAA 提供的 Oauth2 令牌。是否仍然需要保护 REST 服务免受 CSRF 攻击？

因为恶意网站无法从我的 UAA 服务获取有效的 Oauth2 令牌。

谢谢

【问题讨论】：

【解决方案1】：

CSRF 攻击目标一般是Cookies 和Basic 身份验证标头。

由于在我的应用程序中没有使用这些CSRF，因此不需要保护。身份验证从提供的 Oauth2 令牌（无基本身份验证）开始，一旦返回响应（无会话 cookie），请求的状态就会被遗忘。

参考资料：

【讨论】：