您可以通过在所有 POST 请求的参数中包含会话密钥来防止 XSRF 吗？
这个想法可行吗？ 这看起来很愚蠢，因为我的应用程序只是检查浏览器是否发送了相同信息的两个副本（即会话密钥）。
另外，记住进行这项检查听起来很乏味。 Rails 和 CakePHP 等 Web 框架是否具有可以更轻松地编写 XSRF 防护 Web 应用程序的功能？
Will this idea work? It seems pretty stupid, because my app is simply checking that the browser sent two copies of the same information (ie the session key).
Also, remembering to make this check sounds very tedious. Do web frameworks such as Rails and CakePHP have things that make it easier to write XSRF-proof web apps?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
假设会话密钥没有泄露（如果您的 PHP 配置不当并使用 session.use_trans_sid，则可能会发生这种情况）并且您不容易受到会话固定攻击，是的，这是安全的。 这是因为请求伪造者无法读取您的 cookie，因此不知道正确的值是什么。
您可能对 CSRF Magic 感兴趣，它声称允许您通过包含单个文件来保护您的应用程序。
Assuming that the session key is not leaked (which could happen if your PHP is poorly configured and uses session.use_trans_sid) and you are not vulnerable to session fixation attacks, yes, this is secure. This is because a request forger cannot read your cookies, and thus does not know what the correct value is.
You may be interested in CSRF Magic, which claims to allow you to protect your application by including a single file.