如何生成和验证 csrf 令牌
生成 csrf 令牌并验证的最佳方法是什么？据我所知，即使您在“发布”表单中有一个隐藏的表单字段，黑客也可以简单地使用 ajax 获取该表单，获取 csrf 令牌并向网站发送另一个请求以提交表单。
如果我们要检查发送给我们的标头...那么黑客可以简单地将 csrf 令牌发送到服务器端脚本，然后该脚本将模拟 http 标头。
那么如何实际生成和验证 csrf 令牌呢？
what is the best way to generate a csrf token and verify. From what i have been able to gather, even if you have a hidden form field in a "post" form a hacker can simply get that form using ajax, take the csrf token and send another request to the site to submit the form.
And if we are to check the headers sent to us... then the hacker could simply send the csrf token to a server side script that will then emulate the http headers.
So how does one actually generate and verify csrf tokens?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
所有基于令牌的 CSRF 保护都可以通过 XSS 来击败，这就是您似乎“已经能够收集到的”。这对您来说是一本很好的读物：OWASP on CSRF
All token-based CSRF protections can be defeated with XSS, which is what you seem to "have been able to gather". This will be a good read for you: OWASP on CSRF