ASP.net webform应用中CSRF同步令牌模式的实现
是通过在页面中生成一个唯一的令牌，并将其嵌入到表单中的隐藏字段中。在提交表单时，服务器会验证该令牌的有效性，以确保请求是合法的。
CSRF（Cross-Site Request Forgery）跨站请求伪造是一种攻击方式，攻击者通过伪造用户的请求，以用户的身份执行非法操作。为了防止CSRF攻击，可以使用同步令牌模式。
同步令牌模式的实现步骤如下：
- 在页面加载时，服务器生成一个唯一的令牌，并将其存储在用户的会话中。
- 在表单中添加一个隐藏字段，将令牌的值作为该字段的值。
- 当用户提交表单时，服务器会验证表单中的令牌与会话中存储的令牌是否一致。
- 如果令牌验证失败，服务器会拒绝该请求，并返回错误信息。
通过实现CSRF同步令牌模式，可以有效防止CSRF攻击，保护应用的安全性。
在腾讯云中，可以使用腾讯云的Web应用防火墙（WAF）来提供对ASP.net webform应用中CSRF攻击的防护。腾讯云WAF可以检测和阻止恶意请求，包括CSRF攻击，并提供实时的安全防护。您可以通过以下链接了解更多关于腾讯云WAF的信息：
腾讯云WAF产品介绍：https://cloud.tencent.com/product/waf
腾讯云WAF文档：https://cloud.tencent.com/document/product/627
相关·内容
1回答
我有一个ASP.Net webform应用程序和ASP.Net WebApi，两者都在相同的IIS上，但在不同的网站和应用程序池中。两者都使用相同的数据库。我已经在静态类中存储了一些来自DB的设置值。现在，当我通过WebApi更改设置时，我需要刷新webform应用程序上的这个静态类，反之亦然。我使用命名管道将标志发送到第二个应用程序'on setting change‘。但我认为命名管道并不是100%可靠的。有没有其他(更好的)机制来同步这两个类？
浏览 0提问于2021-01-29得票数 0
我读过，MVC防伪造令牌通过将安全令牌存储在表单字段中，然后将浏览器自动发送的默认标头/cookie值与MVC在每个请求中设置的字段值进行比较，从而击败CSRF攻击。由于恶意网站将不知道为存储令牌的字段提供什么值，因此CSRF攻击失败。
那么，在头中存储令牌有什么意义呢？您就不能手动将令牌存储在Javascript的每个请求上的表单字段中，然后跳过比较吗？
这个问题也适用于我，因为我正在为运行在SignalR、ajax请求和ASP.NET表单上的不同应用程序在auth方案上创建一个标记。我的目标是避免CSRF攻击，方法是为每种类型的请求在自定义字段中发送auth令牌:用于ASP.NET窗体的隐
浏览 0提问于2017-05-11得票数 2
回答已采纳
我正在构建一个Next.js应用程序，在其中一个页面上，我需要调用一个/api路由。
调用此API路由执行状态更改操作，因此必须确保调用不是来自试图模拟我的用户的攻击者。
以以下为例：
fetch('/api/grantPermissions', {
headers: ...,
method: 'POST',
body: JSON.stringify({resource: 'someresourceid', permission: 'somepermission'})
})
我注意到保护Next.js API路由不受C
浏览 35提问于2022-08-10得票数 1
回答已采纳
如文档所示的，使用asp.net生成csrf令牌也会阻止浏览器缓存响应。
为该请求生成一个AntiforgeryTokenSet，并将cookie令牌存储在响应中。此操作还将“缓存控制”和"Pragma“头部设置为”无缓存“，将”X帧选项“标头设置为"SAMEORIGIN”。
我最初假设这个决定是为了防止用户使用浏览器"back“按钮提交”陈旧“请求令牌。后来我注意到这可能不是原因，因为：
asp.net为整个会话保留相同的cookie令牌。
只要cookie令牌不改变，asp.net允许多次提交相同的请求令牌。
那么，根据我目前的理解，使用浏览
浏览 1提问于2021-08-16得票数 0
回答已采纳
2回答
应用程序是用Java语言和JSF框架构建的。我已经报告了CSRF攻击，开发团队必须尽快修复它，因为应用程序正在生产中。
我建议使用CSRF令牌，但开发团队表示，实现可能需要一些时间。
你们中有谁能提出一个更好更快的补救CSRF的方法吗？如果这只是暂时的解决办法，那也没关系。稍后，他们将在合理的时间内在代码中实现适当的CSRF令牌。
浏览 0提问于2018-05-10得票数 4
回答已采纳
我一直在开发一个ASP.NET MVC 4 web应用程序，它使用MVC AntiForgeryToken来防止CSRF攻击。最近，应用程序被一家安全公司审计，他们声称在我们正在使用的AntiForgeryToken中发现了一个漏洞。问题是令牌没有完整性检查。可以稍微修改令牌，并且它仍将作为有效的令牌传递。
是否可以扩展基本的ASP.NET MVC AntiForgeryToken，使其包括完整性检查(例如HMAC)？是否有任何可用的现有实现？还是只需要编写我自己的CSRF令牌实现？
浏览 1提问于2013-11-19得票数 1
回答已采纳
我和Spring Security一起工作
该应用程序启用了以下功能：
@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
.antMatchers("/resources/css/**", "/resources/images/**", "/resources/jquery/**", "/resources/js/**").permitAll()
浏览 2提问于2017-09-21得票数 0
回答已采纳
我一直在尝试为那些在浏览器中禁用cookies的浏览器和需要使用antiforgerytoken进行验证的表单寻找替代方案。这样的案件该如何处理呢？
对于在ASP.Net MVC表单中防止CSRF的任何建议或替代方案，我们将不胜感激。
谢谢你！
浏览 2提问于2013-12-05得票数 4
1回答
我正在创建一个带有Node.js后端的React网站。我一直试图找出一个用户身份验证实现来防止CSRF攻击，但是我真的很困惑在哪里存储反CSRF令牌。
我的安全实现思想过程如下..。
用户提交使用凭据登录的请求。
凭据是经过认证的。
服务器创建会话。
服务器创建用作反CSRF令牌的JWT。
服务器将JWT (反CSRF令牌)存储在会话存储中。
服务器向客户端发送响应。
响应具有在客户端将会话ID存储在HttpOnly cookie中的头。
响应有效载荷包括JWT (反CSRF令牌)。
客户端收到响应。
HttpOnly cookie保持
浏览 0提问于2018-10-12得票数 1
2回答
最近，大多数浏览器增加了对SameSite cookie属性的支持，以防止CSRF攻击：https://www.owasp.org/index.php/SameSite。
如果支持，我们是否应该实现同步器令牌模式来防止CSRF攻击？https://www.owasp.org/index.php/Cross-Site_请求_伪造_(CSRF)_预防_作弊_Sheet#Synchronizer_令牌_模式
SameSite是否能防止至少与同步器令牌模式相同的CSRF攻击？
我知道SameSite选项是strict和lax，我们可能会使用lax值。
添加的
如果我们只在支持设置( SameSite
浏览 0提问于2019-01-13得票数 2
回答已采纳
1回答
我使用的是一个角+ Spring应用程序，我使用JWT进行授权(仅存储在http cookie中的令牌)，后端完全使用REST服务进行开发。现在，我试图在Security中使用CSRF保护，但我不明白它是如何工作的。总是为每个请求生成一个新的XSRF令牌，但是即使手动更改或删除它，后续的请求也总是成功的。
这是我关于CSRF的代码片段(即在所有指南上编写的代码片段)：
http = http.cors().and().csrf().csrfTokenRepository(this.getCsrfTokenRepository());
..。
private CsrfTokenRepositor
浏览 5提问于2022-08-08得票数 1
回答已采纳
我有一个MVC应用程序，它使用了AntiForgeryToken的ASP.NET MVC功能。AFAICT --它使用加密的同步器令牌变体来验证令牌的有效负载。
一个客户质疑这些令牌不会过期的事实，如果捕获了，那么对于给定用户的会话仍然是有效的。
自定义可以向令牌添加时间戳并对其进行验证，从而使发出的令牌在一个时间段后过期。
我想知道的是，这有必要吗？CSRF令牌应该提供重放保护吗？攻击不需要MitM或XSS漏洞吗？
我某种程度上认为，长期失效是防御深度战略的一个合理部分，但我觉得奇怪的是，重播会被作为一个安全问题提出一个CSRF预防计划。
我遗漏了什么？
浏览 0提问于2017-09-11得票数 2
回答已采纳
2回答
我有以下系统在我的网络应用程序，我想知道它是否安全。
Cookie包含CSRF令牌。
应用程序检测cookie中的CSRF令牌。
应用程序将令牌放置在标头中。
服务器对标头中的令牌进行验证。
我还没有看到任何关于是否可以使用cookie作为存储CSRF令牌的地方的确切信息。请指点我。
编辑:更详细的角度查找cookies中的CSRF令牌，当它找到一个标记时，它会添加一个带有此值的标头。然后，服务器确定标头值是否合法。
浏览 0提问于2015-07-09得票数 3
为了安全起见，我们正在使用asp.net MVC开箱即用的AntiCSRF。我们有很多使用AJAX POST和JSON的表单。
该应用程序将托管在Azure中，使用3台Web服务器负载平衡。
请有人澄清如下：
ASP.NET如何生成Csrf令牌？
如果它使用机器密钥，我是否需要配置任何东西来确保请求在Azure非粘性负载平衡上工作？
谢谢。
浏览 3提问于2015-02-26得票数 1
我需要在asp.net中创建一个网站，在那里用户注册需要，也需要为移动应用程序用户创建WebApi代码。
目前，用户注册是在asp.net Webform中创建的，登录工作正常(使用基本身份验证)，但是当我尝试使用WebApi代码登录时，它会显示错误400错误请求(基于令牌的身份验证)，所有传递的参数都是正确的。
这是因为我在Webform中使用了基本身份验证吗？我也需要在WebApi中使用基本身份验证吗？如果是，那么登录是如何工作的？请帮帮忙。
浏览 2提问于2015-11-11得票数 1
回答已采纳
我想知道是否有可能实现以下目标。
在MVC应用程序中-有一个链接，可以在数据库中查询一些值，将这些值设置为会话变量，然后打开一个弹出窗口(这是MVC应用程序中的一个asp.net webform )
它基本上允许我们运行水晶报表，链接将在会话变量中设置报表ID，然后可以在asp.net webform中访问该变量。我的困惑是在单击链接时设置会话变量，然后打开弹出窗口。它可以做到吗?如果可以的话，有任何链接或指针吗？
编辑: Javascript
<script language="javascript" type="text/javascript">
浏览 2提问于2012-01-16得票数 1
回答已采纳
1回答
Checkmarx XSRF问题
、、、、
Checkmarx在我们的web应用程序中抱怨XSRF问题。我们使用的是框架4.0的ASP.NET web表单(而不是MVC)。
Checkmarx说:方法btnSubmit_Click在\ABC.aspx.vb的第1760行从来自元素文本的用户请求URL获得一个参数。此参数值在代码中流动，并最终用于修改数据库内容。应用程序不需要对请求重新进行用户身份验证。这可能会导致跨站点请求伪造(XSRF)。
对如何防止XSRF从ASP.NET Webform应用程序中有什么想法吗？
我们尝试了很多解决方案，但没有一个通过Checkmarx:以下是我们尝试过的一些东西：
或
或
我认为上述解决方案应
浏览 1提问于2019-03-06得票数 0
我们有一个系统，通过AJAX(通过AJAX)对后端执行异步请求以获得CSRF。来自服务器的响应是一个新的cookie和一个标头，我们在javascript中记住它们，稍后再使用。
在打开两个选项卡之前，这一切都很好，然后第一个选项卡记住令牌与新cookie不匹配，因为它是重新发出的。解决这个问题的计划是检查CSRF令牌是否已经存在于cookie中，如果它是好的，则返回现有的标记。
这似乎是一个好的和安全的解决方案，但我想再次检查一下，这个解决方案没有缺点。
浏览 0提问于2017-10-11得票数 1
3回答
据我所知，执行CSRF保护的方法有两种：
1)每个会话的CSRF令牌-每个会话生成一次令牌。这是最简单的方法；
2)每个请求的CSRF令牌--每个请求都生成新的令牌，而旧的令牌变得无效。这是更安全的，但当在浏览器中选项卡并单击“后退”按钮时，当应用程序可能会中断.。
几天前，我开始分析Node.js连接框架如何实现CSRF保护并注意到它使用了第三种方法：
每个请求都会生成新的CSRF令牌，但旧的不会变成invalid__。因此，用户同时有多个有效的CSRF令牌。
我的问题是:多个有效的CSRF令牌的优点是什么？
非常感谢。
我的英语不是很强，所以请尽量简单地解释。再次感谢你
编辑(修改我的问题
浏览 0提问于2014-02-09得票数 5
回答已采纳
1回答
我已经创建了一个充分发挥作用的web服务。但是，当我在config/main.php中启用CSRF验证时，在尝试使用web服务时会出现一个错误：
无法验证CSRF令牌。
与其跳过CSRF令牌验证，还有其他解决方案吗？
当通过Android应用程序使用web服务时，是否有一种方法能够成功地验证CSRF令牌？
浏览 0提问于2017-06-02得票数 0
我正在使用加密的令牌模式(如https://www.owasp.org/index.php/Cross-Site_请求_伪造_%28 28CSRF%29_预防_作弊_Sheet#Encrypted_令牌_模式)来实现CSRF保护。
我了解到该模式与双Submit cookie模式之间的两个主要区别是: 1.令牌本身是加密的令牌，过期了2。令牌不是存储在Cookie中，而是存储在DOM元素或JS变量中(通过缩小的、模糊的外部JS文件)。
我还理解，就像其他预防方法一样，如果您的站点易受XSS攻击，此方法也不安全。
我的问题是: 1.给令牌推荐的到期期限是什么？例如，如果我的站点会话持续12小时，
浏览 0提问于2015-03-05得票数 2
回答已采纳
将csrf令牌保存在cookie中是一种好的做法，还是在表单中使用隐藏字段更好？同样，像captchas一样重新生成每个用户请求的csrf令牌也很好吗？
谢谢
浏览 0提问于2013-07-22得票数 2
1回答
我想知道CSRF令牌是如何在表单提交中被验证的？
请告诉我以下内容是否正确：
服务器发出一个被设置为会话cookie的随机字符串，以及表单中隐藏字段的值。
在表单提交上，服务器使用隐藏字段值检查会话cookie是否相等，如果值不相等，则不会处理请求。
浏览 0提问于2016-06-23得票数 1
1回答
我正在加载测试一个CSRF保护的网站，并成功提取csrf令牌并授权登录，但是当加载包含许多不同图形的页面时，所有的图形似乎都失败了。从JMeter返回的事务对主体数据有一个较大的JSON响应，头中有一个。
当手动浏览网页时，一切都很好，只有在JMeter上才会失败。
我在登录页面提取CSRF证书，并将其发送到有效的登录事务参数。
📷
📷
📷
这里有一个失败的事务(所有其他事务都是相同的)--它是一个大型JSON POST请求
📷
📷
这是失败事务的响应。如您所见，X令牌与我在标头中传递的令牌完全不同，并表示因为CSRF而被禁止使用。我还再次尝试查看是否能够找到一个与响应头中的令牌类似的CSRF
浏览 0提问于2020-11-04得票数 1
1回答
我需要帮助，以防止CSRF到我的网络服务，从jQuery ajax调用。我对CSRF知之甚少，需要任何示例代码来解决这个安全问题。我在这里给出了一个示例:我的webmethod (asmx)将如下所示：
[WebMethod]
public Product GetProducts(string category)
{
Product product = new Product
{
Name = "Product1",
Price = "1500",
Size = "A1"
}
浏览 1提问于2014-08-16得票数 1
1回答
RESTful服务的CSRF预防
、、、、
我是否正确，如果我声称，没有任何可靠的保护，以对抗CSRF的状态环境今天？我有一个RESTful服务(用RESTEasy构建)，需要保护它免受CSRF攻击。我在谷歌上搜索了无状态的CSRF预防，但我发现的只是关于双重提交的这文章。根据对本文的评论，这种方法不是一个安全的对策。
那么，对这次攻击还有什么其他可靠的对策吗？
浏览 0提问于2013-09-09得票数 8
回答已采纳
1回答
我有一个托管在上的web应用程序，它是用ASP.NET MVC创建的，另一个web应用程序托管在上，它是用ASP.NET Web API + Angular4创建的。
用户使用WebForm身份验证和cookies登录到，之后用户可以移动到进行一些操作并返回。此时，用户未获得授权。为什么不使用提前设置的cookies？
浏览 3提问于2017-09-29得票数 0
我们正在努力将我们的单点ASP.NET Webform应用程序转移到Microservices，首先，我们使用Nginx作为代理路由器，Node作为API网关。从浏览器中，任何.aspx请求都将从Nginx路由到现有的ASP.NET Webform应用程序，新的呼叫将被路由到API网关，直到其全部工作正常，但问题是会话管理，ASP.NET Webform应用程序使用Redis作为会话存储和会话，我们尝试访问API网关ASP.NET在"ASP.NET_SessionId“cookie中存储sessionID，在Redis中它创建了每个会话两个密钥，比如SessionID_Data Ses
浏览 0提问于2018-12-04得票数 2
回答已采纳
我刚刚实现了一个使用ASP.NET MVC的例子，它使用ValidateAntiForgeryToken属性来防止CSRF攻击。
为了验证它，我制作了从另一个应用程序发出相同post请求所需的HTML片段。基本上，如果我将带有令牌加密值的隐藏字段添加到这个第三方应用程序中，我将得到一个成功的post request.So，如果我只通过检查原始表单的html源就可以看到隐藏的值，那么在ValidateAntiForgeryToken中就没有任何意义。有人能告诉我它的真正意义吗？
另一方面，基于前面示例的结果，我想知道在应用程序上具有有效凭据的恶意用户是否能够获得自己的令牌，并使用它代表其他用户发
浏览 3提问于2015-08-30得票数 1
回答已采纳
据我所读到的这里，CSRF令牌从cookie头无法读取，因为相同的起源策略。
将cookie头上的CSRF令牌与表单的隐藏元素进行比较是否足够？
使用这种方法，CSRF令牌实现消除了在服务器上保存CSRF令牌的需要；这是一种正确的方法吗？
浏览 0提问于2014-10-09得票数 1
回答已采纳
我正在Asp.Net Webform应用程序中使用Asp.Net。我在global.asax中编写了以下路径
routes.RouteExistingFiles = true; // I made true/false both, but none works
routes.Add("competition", new Route
(
"Test",
new CustomRouteHandler("~/Test/WebForm1.aspx")
浏览 1提问于2009-08-20得票数 1
回答已采纳
我找不到在ASP.NET web表单中实现的事件聚合器的任何示例/演示。几乎所有的文章都是为Silverlight写的。
您能告诉我一些文章，最好是使用ASP.NET web.forms中的工作代码来实现事件聚合器模式。
最简单的示例: ASP.net webform中的两个用户控件，它们使用事件聚合器模式相互通信。
编辑
目前，我有一个基于用户控件的ASP.NET web窗体应用程序。容器aspx页面可以承载多个用户控件(ascx)，需要在这些控件之间进行通信。就目前而言，它是由通过容器页的事件完成的：
protected override void OnInit(EventArgs e)
浏览 3提问于2011-11-30得票数 0
回答已采纳
2回答
我的问题是关于XSS/CSRF攻击的ASP.NET MVC 5。
ASP.NET MVC提供了一种通过生成防伪令牌来防止CSRF攻击的规定。
但此令牌只能与POST请求一起使用。
根据我的测试团队，为了防止CSRF攻击，每个请求都应该有一个令牌号，并且他们只要求有POST请求，而不是一个GET请求。
所以我的问题是：
我们是否需要只为了防止CSRF攻击才有POST请求？
如何通过GET请求生成和发送抗伪造令牌？
浏览 6提问于2014-07-07得票数 1
回答已采纳
2回答
我正在使用Angular.js (单页应用)编写一个厚客户端web应用程序，我想知道使用CSRF令牌保护应用程序的最佳实践是什么。
当应用程序首次加载时，我是否应该发送一个CSRF令牌，然后在每个请求中重新使用该令牌？我应该有一个刷新令牌的机制吗？是否有其他保护而不是CSRF令牌对单个页面应用程序更有意义？
浏览 0提问于2013-05-25得票数 32
回答已采纳
2回答
在Asp.Net中实现要保护XSS的内容-安全-策略头时是否支持?？
我读到Asp.Net中不支持done，但是，我读了另一篇简单的文章，它说明了它是如何完成的？是否有人对CSP头使用nonce，通过在我的企业web应用程序中为内联java脚本使用不安全的内联标记，我能够使我的实现在没有它的情况下工作，将内联JS移动到外部文件是不可行的，所以不安全的内联src是被推荐的。被那个客户。
我想知道在实现CSP时，实际有多少人使用nonce或散列。此外，如有任何关于CSP的一般最佳做法，将不胜感激。
浏览 0提问于2020-02-07得票数 3
2回答
我编写了一份关于三层设计体系结构的报告，重点是一个ASP.NET网络应用程序。目前，我有一个简单的visual项目，我想知道一个简单的WebForm (ASPX，ASPX.CS，ASPX.DESIGNER.CS)演示使用哪种模式，就像ASP.NET MVC使用MVC模式一样？
另外，在三层体系结构中，用户控制组件(ASPX.CS)放置在哪里？下表示层还是上BLL层？
浏览 4提问于2014-02-05得票数 1
回答已采纳
对于Drupal 8 Webform，是否有一种方法可以将文本字段的默认值设置为相同形式的早期文本字段的值，并通过Ajax进行更新？
示例：
user_name:
'#type': textfield
'#title': 'User Name'
nick_name:
'#type': textfield
'#title': 'Nick Name'
'#default_value': '[webform_submission:val
浏览 0提问于2019-01-29得票数 0
回答已采纳
我需要实现一个解决方案，以防止基于struts 1框架的应用程序中的CSRF攻击。在网络上，人们提出了这样的解决方案：
Struts saveToken(请求)和isTokenValid(request，true)
库，如HDIV和OWASP CSRFGuard
目前我不知道哪一个最适合这个问题。所以，你能不能给我你对这些解决方案的意见，以指导我的选择，如果可能的话，举个例子或者提出其他的解决方案。
谢谢你的帮助
浏览 3提问于2015-11-12得票数 2
4回答
我想创建一个(在.Net中)填充和提交表单(在asp.net网站中)的应用程序。
这个应用程序应该读取页面，找到字段(输入)，提取我想要填充的字段的名称/id，然后将页面提交给服务器。
我不想要一个包含网页浏览器控件并自动导航的应用程序！
我所拥有的:我有下载html的部分，我有找到字段并提取它们的名称/ids的部分。
我需要的是:一种将表单提交给服务器的方法(POST，而不是GET)。
在页面的html中，提交是由javascript完成的，如下所示：
javascript:WebForm_DoPostBackWithOptions(new WebForm_PostBackOptions(&
浏览 3提问于2012-02-28得票数 0
回答已采纳
csrftoken存储在哪里？
当我访问一个API端点(注销API，它不需要params)：
POST /rest-auth/logout/ HTTP/1.1
Host: 10.10.10.105:8001
Connection: keep-alive
Content-Length: 0
Accept: application/json, text/plain, */*
Origin: http://localhost:8080
Authorization: Token 0fe2977498e51ed12ddc93026b08ab0b1a06a434
User-Agent: Mozilla/5
浏览 1提问于2018-03-15得票数 6
1回答
剃刀与防伪
、、、
最近，我在Microsoft ()上看到了以下注释：
剃须刀页被自动保护，不受XSRF/CSRF的影响。您不必编写任何额外的代码。有关更多信息，请参见XSRF/CSRF和Razor页面。
指向另一个页面()，其中指出：
您不必为防伪验证编写任何代码。反伪造令牌生成和验证自动包含在Razor页面中。
我在我的ASP.NET MVC应用程序中使用Razor，并且使用AntiForgeryToken帮助程序保护我的表单。由于防伪令牌的相互验证方式(隐藏字段+ cookie)，我的用户必须允许网站上的cookie。
我现在对我在文档中读到的内容感到困惑，因为它似乎说我在使用Razor时
浏览 2提问于2018-01-11得票数 6
回答已采纳
我刚刚在一个示例asp.net webform应用程序中试验了我的第一个ajax enabled WCF service ...如果我的all应用程序中有10-15个涉及add,edit,view and delete操作的页面，是否可以在不使用所有页面的.cs(codebehind)的情况下使它们成为ajax post and get……
在asp.net webform应用程序中选择支持ajax的WCF服务有什么利弊？
浏览 0提问于2010-02-09得票数 3
回答已采纳
3回答
我读到了一些关于用来防御CSRF攻击的防御机制的材料。我想我有个关于基于安全令牌的问题。
据我所知，web应用程序应该包括一个秘密令牌，这将阻止CSRF的尝试。这样做的原因很简单，因为攻击者不知道这种令牌，因此S/他无法将其添加到恶意重定向中(我从论坛的一位高级用户那里读到了一个很好的旧摘要)。
我仍然很难理解的一点是它是如何工作的：
如果我确实登录到该网站，有什么可以阻止我的浏览器将这个秘密令牌添加到恶意重定向？(希望答案不是，因为这个标记的本质，但我只是错过了它的工作方式)
如果我没有登录到那个网站，攻击无论如何都会失败，对吧？(当然，除非恶意软件感染了机器，并且一旦检测到用户请求了目标U
浏览 0提问于2019-01-21得票数 1
我试图对我的服务器(Localhost)执行一些REST调用，使方法正常工作，但是，当我试图通过postman方法POST、PUT、DELETE不工作时，当我再次尝试禁用http上的csrf令牌时，它写着"Request method post不支持“，一切正常。
这是我的休息控制器。
import java.util.List;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.web.bind.annotation.DeleteMapping;
imp
浏览 1提问于2019-06-04得票数 0
回答已采纳
1回答
我试图建立一个网页，发送链接，可以访问下载文件。它已经在处理第一个文件了，但我不知道如何为多值字段中引用的其他文件创建令牌：
什么在起作用(一个文件)：
Here is your requested download: <a href="[webform_submission:node:field_gated_download:entity:field_media_file:entity:url]" target="blank">[webform_submission:node:field_gated_download:entity] </a&
浏览 0提问于2020-11-02得票数 3
回答已采纳
我正在开发一个Angular2，并将它与我的ASP.NET MVC应用程序集成。为了防止CSRF攻击，我们在ASP.NET MVC帮助函数中使用了防伪造令牌，它在主体内呈现输入类型。
现在，我想读取这个值，并将其附加到我的angular2应用程序中的所有ajax调用的标题中。我无法找到如何读取此值并传递给http包装服务的方法。
DOM是这样的：
<html>
<head></head>
<body>
<input name="__RequestVerificationToken" type="hidden&
浏览 0提问于2017-04-12得票数 1
回答已采纳
1回答
我希望在Drupal 8中使用Webform 8.x-5.x创建一个个人联系人表单，供登录用户使用以相互发送个人消息。
同时，我使用Profile模块存储这些用户的其他信息，包括他们的显示名称。
现在，在个人联系人表单中，我想在"From“文本字段中显示登录用户的显示名称，在" to”文本字段中显示收件人用户的显示名称。
我知道如何在文本字段中将令牌显示为默认值。但是，令牌UI只显示全局和Webform令牌。
我还知道，我可以创建自己的模块，并使用hook_token_info()和hook_tokens()将显示名称转换为令牌。
但是，一旦我有了我想要的信息的令牌，我如何让它
浏览 0提问于2017-07-07得票数 2
我们有一个ASP.NET MVC应用程序。使用@Html.AntiForgeryToken和ValidateAntiForgeryToken属性保护所有POST请求(表单提交)不受CSRF的影响。控制器上的操作方法之一是一个GET，它向用户返回一个报告(一个pdf文件，包含来自数据库的数据)。签名是：
[AcceptVerbs(HttpVerbs.Get)]
public ActionResult GetReport()
{
// get data from db
return GetReport();
}
下面是针对此操作测试CSRF的步骤：
用户登录到应用程序
登
浏览 5提问于2016-02-18得票数 13
回答已采纳
我在学习
CSRF预防技术
有人提到，
防伪令牌
是预防它的方法之一。在ASP.NET MVC应用程序中，我们可以使用 Helper添加令牌。
当我使用fiddler时，我注意到隐藏表单输入标记中的令牌值与同名Cookie中的值是不同的。应该是这样的吗？
在这种情况下，ASP.NET框架如何小心发现请求不是伪造的。
希望我的问题很清楚。
浏览 2提问于2014-01-25得票数 5
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储活动推荐
腾讯云开发者
