CSRF保護僅適用於帶有副作用的請求（POST，DELETE，PUT）？

Question

據我所知，跨站點請求僞造攻擊他們「僅」用於更改服務器端的狀態。

假設：

• 我有一個REST Web應用程序，我相信HTTP GET請求並沒有改變我的應用程序持續狀態（無副作用）
• 我使用特定的會話密鑰來授權請求

我需要驗證GET請求的會話專用密鑰嗎？

Answer 1

這不是真正的請求方法問題（GET和POST都可以對持久狀態進行更改），因爲每種方法都可以被各種CSRF攻擊媒介利用。當你談論「特定於會話的密鑰」時，我假設你正在討論同步器令牌模式（更多內容請見OWASP Top 10 for .NET developers part 5: Cross-Site Request Forgery (CSRF)）。顯然，這是爲了防止瀏覽器在第三方的協調下代表未經授權的請求。

所以這個問題真的是「我的應用程序需要防止CSRF嗎？」聽起來好像應用程序中的持久數據沒有變化，因此表面上的答案是「否」。您通常只會在CSRF攻擊會產生不利影響的地方發現反請求僞造令牌，因此在我看來這是您不需要擔心的事情。