SPA，網站使用的oauth2 API - 我需要CSRF保護

Question

我的網站是充滿SPA，和所有的認證用戶的請求都使用訪問令牌，那麼未經授權的用戶訪問的登錄表單的唯一形式完成。那麼csrf保護是必要的嗎？如果我從我的網站禁用csrf保護，可能會面臨哪些安全問題？謝謝。

Answer 1

如果我理解您的設置，則如下：

1. 用戶發佈證書（例如：登錄表單）
2. Server返回身份驗證令牌響應
3. 用戶包括：在請求頭與令牌每個後續請求

如果這是準確的，並且假設您正在使用TLS並正確驗證令牌，那麼我認爲您已經很好地受到了防止跨站點請求僞造的保護。

典型的CSRF保護是發送一個令牌，只有合法的網站才能看到（例如，通過設置一個cookie），然後期望在後續請求標題，查詢參數（不是一個好主意），或請求正文。基於令牌的身份驗證（如您的）已經滿足這些要求。

總之，如果一個邪惡的網站能夠繞過您的設置僞造請求（CSRF），然後邪惡的部位很可能使用相同的漏洞打敗一個典型的CSRF保護。