防止CSRF漏洞，CSRF的替代方法令牌

Question

防止CSRF的常見方法是使用隱藏在表單中的令牌。僅僅因爲好奇，這是實際阻止CSRF的唯一途徑嗎？人們爭論CSRF令牌不需要讓我發瘋，我需要理解爲什麼。我怎樣才能防止CSRF攻擊？

Answer 1

實際上使用CSRF令牌只是另一個防禦層。根據OWASP Cross-Site Request Forgery (CSRF) Prevention Cheat Sheet，驗證請求源也可用於CSRF保護。爲了驗證起源，我們可以使用，

1. Origin標
   • 的 Origin header包括髮起請求的方案，主機和端口的信息。
2. Referer標頭
   • 的Referer header包含以前的網頁從一個鏈接到當前請求的網頁之後的地址。

但也有在使用這種方法，如頭部的可用性和完整性限制。攻擊者可以通過這些方法來更改這些標頭的值。因此建議始終有多層防禦。