在登錄/註冊表單中填充AntiForgeryToken是否有意義？

Question

我希望我的問題不是太簡單，但是當談到安全性時，我們都會懷疑。

由於在這兩種情況（登錄/註冊）之前，我們沒有登錄用戶（會話cookie），爲什麼我們會打擾以登錄/註冊形式使用AntiForgeryToken？

Answer 1

一般來說，你不知道。你所說的攻擊是一個跨站點請求僞造（CSRF）。這種類型的攻擊依賴於已登錄的用戶（如果您登錄到站點A和站點B並且站點A知道這一點，他們可以將html代碼放入，這會導致請求轉到站點B，看起來像你啓動它並可能導致執行敏感操作）。這些攻擊依靠瀏覽器發送會話cookie /令牌以及所有請求到相關站點（站點A包括請求站點B執行操作X，這導致瀏覽器向站點B發送請求，因此包括所有cookie ，包括會話cookie，以該請求發送到站點B）。

反CSRF令牌的工作原理是因爲當您向客戶端發送請求表單時，會包含客戶端必須發回的無法推測的值及其操作請求。如果它回來了，您知道要執行的操作的請求始於您發送給客戶的表單。如果它沒有回來，請求可能是僞造的，所以你應該忽略它。如果站點A上的代碼導致請求被髮送到站點B，即使使用站點B的會話cookie，站點A上的代碼也不會知道要包含的反CSRF標記值，所以僞造的請求將被拒絕。因此，如果您試圖防範您的站點上的CSRF攻擊，則需要將這些令牌包含在所有可啓動敏感操作的表單中，以防止僞造的請求利用已登錄的用戶。這種防禦對於未登錄的用戶是無關緊要的，因爲另一個站點不能利用瀏覽器將會話cookie /令牌與所有請求一起發送的事實，如果用戶當前沒有登錄。