CSRF令牌验证失败
CSRF（Cross-Site Request Forgery）令牌验证失败是一种网络安全漏洞，攻击者通过伪造用户的请求，利用用户在其他网站上的登录状态，向目标网站发送恶意请求，从而执行未经授权的操作。
CSRF令牌验证是一种防范CSRF攻击的常见方法。它通过在用户访问网站时生成一个唯一的令牌，并将该令牌嵌入到表单或请求中。当用户提交表单或请求时，服务器会验证该令牌的有效性，如果验证失败，则表示CSRF令牌验证失败。
CSRF令牌验证的优势在于可以有效防止CSRF攻击，保护用户的数据安全。通过使用CSRF令牌验证，网站可以确保请求来自于合法的用户，而不是恶意攻击者。
CSRF令牌验证适用于任何需要保护用户数据安全的网站，特别是涉及用户登录、提交表单、执行敏感操作等场景。例如，电子商务网站的支付操作、社交媒体网站的发布内容操作等。
腾讯云提供了一系列安全产品和服务，可以帮助用户保护网站免受CSRF攻击。其中，Web应用防火墙（WAF）是一种基于云的Web应用安全解决方案，可以实时监控和防御各类Web攻击，包括CSRF攻击。您可以了解更多关于腾讯云WAF的信息，访问以下链接：腾讯云WAF产品介绍
此外，腾讯云还提供了其他安全产品和服务，如DDoS防护、安全加速、安全审计等，可以全面保护您的云计算环境和应用安全。您可以访问腾讯云官网了解更多相关产品和服务的详细信息。
相关·内容
2回答
我在文档中看到，DRF只在经过身份验证的请求上验证CSRF令牌，登录视图应该明确地检查CSRF令牌。
问题是，如何手动检查CSRF令牌？
在我的settings.py里
MIDDLEWARE = [
...
"django.middleware.csrf.CsrfViewMiddleware",
...
]
以下是我的看法：
from rest_framework.decorators import api_view
from django.http import JsonResponse
from django.views.decorators.csr
浏览 26提问于2022-10-02得票数 1
回答已采纳
我正在从事一个Spring项目。通过启用和使用Spring安全性，我将CSRF令牌应用于登录表单。当我进入登录页面时，我可以看到使用名称_csrf自动生成的CSRF令牌。但是，当我使用ZAP扫描该项目时，仍然会收到有关反CSRF令牌的警告，如：抗csrf攻击失败。
我还尝试使用删除或编辑字段_csrf令牌，然后使用有效的用户名/密码登录。在这种情况下，我的网站总是返回405错误，所以我认为反csrf令牌工作正常.Csrf令牌是与会话一起生成的，因此不可能将csrf令牌从会话复制到其他会话。
我还将_csrf添加到了反CSRF令牌中，但它仍然不起作用：(您可以在这里检查图像- 反CSRF令牌)
浏览 0提问于2019-05-03得票数 1
当我使用django方法返回back后返回时，我得到CSRF验证失败。
即使我成功登录，它也会返回登录页面。并在CSRF验证失败时发布错误。
我可以在Django设置中设置任何东西吗？
浏览 25提问于2017-03-06得票数 1
2回答
我正在开发一个使用nodejs、express的简单web应用程序，当我切换到session和csrf时，我的PUT、DELETE和POST请求都失败了。有错误：
error: Forbidden at Object.exports.error (appFolder/node_modules/express/node_modules/connect/lib/utils.js:63:13) at createToken (appFolder/node_modules/express/node_modules/connect/lib/middleware/csrf.js:82:55)
我查看了这一
浏览 4提问于2014-02-21得票数 0
回答已采纳
我有一个GWT web应用程序与Django服务器端一起工作。我最近将Django升级到1.2，无法从我的GWT应用程序中获得HTTP帖子。我得到了这个错误：
CSRF验证失败。请求中止。
失败的原因：
CSRF令牌丢失或不正确。
我已经启用了csrf中间件(‘django.medileware.csrf.CsrfView中间件’)，它正在为登录之类的控制应用程序工作，但似乎没有将令牌添加到通过GWT发布的帖子中。有什么想法吗？提前谢谢。
浏览 2提问于2010-09-20得票数 1
回答已采纳
1回答
DRF令牌认证
、、、
对于drf项目，我同时使用会话和令牌身份验证。
REST_FRAMEWORK = {
'DEFAULT_PERMISSION_CLASSES': [
'rest_framework.permissions.IsAuthenticatedOrReadOnly',
],
'DEFAULT_AUTHENTICATION_CLASSES': [
'rest_framework.authentication.SessionAuthentication',
're
浏览 7提问于2022-01-15得票数 1
1回答
在保存草稿时，我得到了一个"CSRF验证失败。请求失败“。错误。这种情况只是间歇性的，尝试过几次来保存草案通常是有效的。我正在运行Wagtail 2.2.2和Django 2.0.3，并且我的settings.py文件中有settings.py。以下是错误消息：
Forbidden (403)
CSRF verification failed. Request aborted.
Reason given for failure:
CSRF token missing or incorrect.
浏览 3提问于2018-09-05得票数 0
回答已采纳
我已经在房子里四处走动了，我确定我处理这个问题的方式错了。
在我的RoR站点上，如果用户已注销，则可以输入新帖子的详细信息。但当它们点击“创建”时，我会检查它们是否经过了身份验证。如果没有，我会要求用户登录或创建一个帐户。登录后，我希望表单自动重新提交原始帖子数据。我正在使用devise进行身份验证。
除了保留原始表单POST数据和避免CSRF失败之外，我已经完成了所有工作。
我认为CSRF失败是因为重新提交的数据没有真实性令牌-所以我暂时关闭了CSRF保护，直到我修复POST数据保留。
我不能在会话中存储数据，因为表单数据包括一个图像，并打破了4k会话的限制。
请问，有没有一个常规的Rail
浏览 2提问于2015-08-05得票数 0
1回答
在许多不同的产品中，CSRF令牌存储在会话中。
这意味着，如果会话已过期，则下一个表单提交将失败。
示例场景:打开登录表单，如果您还没有登录表单，会话将被隐式创建，并且CSRF令牌将持久化在会话中，并作为表单的隐藏字段放置。
然后等待会话过期(并收集垃圾)，然后填写凭据并提交它。
现在，即使凭证是正确的，您也会看到丑陋的"CSRF令牌无效“(或类似的内容)形式的验证错误消息。
所以问题是:是否有一个安全的方法来改善这一流程？
PS：..。除了使用AJAX定期轮询某个端点之外，还可以保持会话的活力。
浏览 0提问于2015-05-10得票数 4
回答已采纳
我有问题的ajax帖子后，我的django电子商务网站用户登录。失败的场景如下： 1-)用户来到网站并将产品添加到购物车没有任何问题。将产品添加到购物车是一个ajax调用，代码如下： function addItemToCart(item_pk, quantity) {
var item_quantity;
if (!quantity) {
item_quantity = 1;
} else {
item_quantity = quantity;
}
$.ajaxSetup({
浏览 18提问于2019-02-22得票数 0
在阅读了关于CSRF保护在Rails中如何工作的文章之后，我尝试通过这样做来触发CSRF保护：
注意:我们使用基于cookie的会话。
访问登录页面。检查meta => abc123中的CSRF令牌
打开第二个浏览器选项卡，并访问相同的登录页面。meta中的CSRF令牌是不同的=> def456
回到第一页。
提交登录凭据。
我预计这会失败，因为第二个选项卡生成了一个新的、不同的CSRF令牌。当登录表单提交时，提交给服务器的令牌不应该是旧的、陈旧的令牌吗？
然而，这确实有效：
访问登录页面。检查meta => abc123中的CSRF令牌
打开
浏览 0提问于2017-12-08得票数 20
回答已采纳
1回答
一个web应用程序有一个删除按钮。一旦单击该web应用程序，请先获取请求，这将返回带有令牌键的POST表单。问是或否。如果是，则删除资源。
我怎样才能在CSRF攻击中实现这一点？我可以提交隐藏在iframe中的第一个请求，但我需要这个令牌来提交第二个POST请求。
Ajax由于CORS而失败。
那么，在一页纸上是否有可能
发送GET请求
解析响应并获取令牌
提交带有令牌的POST表单以触发CSRF
浏览 0提问于2016-09-25得票数 0
我有一个Rails 5.2.x应用程序，我想使用curl删除一个项目，但是我如何正确地获取和传递CSRF？ 在获取列表时，我已经将CSRF放入了头部 def index
@asset_items = AssetItem.all
response.headers["CSRF"]=form_authenticity_token
end 获取列表头 $ curl -I http://localhost:9000/asset_items.json
HTTP/1.1 200 OK
X-Frame-Options: SAMEORIGIN
X-XSS-Protect
浏览 16提问于2019-09-05得票数 1
2回答
我已经创建了一个自定义服务API来将订单记录保存在数据库中。我已经查过邮递员了，它运行得很好。但是当我请求应用程序时，它给了我"CSRF验证失败“的问题。
我是不是遗漏了什么？
浏览 0提问于2016-02-10得票数 2
回答已采纳
我想知道Django的CSRF令牌是否是为自动生成的，包括身份验证用户和未经身份验证的用户？我很好奇，因为我想创建一个发布表单数据的API，以便任何用户-authenticated或未经身份验证的用户都能够对API端点进行post调用。但是，我想知道是否必须将CSRF令牌“附加”到每个用户的头上？(这意味着未经身份验证的用户也将拥有CSRF令牌)
浏览 1提问于2016-07-26得票数 0
2回答
嗨大家好
我的web应用程序是基于异步请求的。Timer小部件每秒钟都会通过AJAX工作并更新其状态(是的，这是必要的)。
与每个AJAX一起发送我的CSRF令牌：
project_data.append(csrf_name_key,csrf_name_value);
project_data.append(csrf_value_key,csrf_value_value);
，作为回应，我正在更新全局变量：
function setCSRF(response) {
csrf_name_key = response.nameKey;
csrf_name_value = respo
浏览 5提问于2017-04-06得票数 5
回答已采纳
1回答
问题背后的问题:我试图在我的java web应用程序中防止csrf攻击，为了实现它，我尝试了X-CSRF-Token的实现，每当请求被提出时，请求就会通过这样的方式传输：
POST /sessions HTTP/1.1
Host: sample.com
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:42.0) Gecko/20100101 Firefox/42.0
Accept: */*
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
X-CSRF-Token: Ma7
浏览 6提问于2015-11-25得票数 0
回答已采纳
我正在为c#中的某个应用程序构建一个插件，它必须与Django rest接口通信。如您所知，Django使用CSRF令牌来提供额外的安全性。
在给Django打POST/PUT电话时，我遇到了问题。调用将始终返回"CSRF失败: CSRF令牌丢失或不正确“。我在浏览器中测试了调用( web接口也可以编辑数据，并将调用相同的PUT请求)，令我惊讶的是，头中使用的csrf令牌值与存储在cookie中的令牌值不同。头应该使用新生成的令牌吗？在此调用之后，将不再使用值(旧的csrftoken值仍然用于所有后续调用.)。
显然，我还读过有关csrf令牌的Django文档。尽管我认为我理解它的工作
浏览 1提问于2018-09-05得票数 1
回答已采纳
1回答
RESTful服务的CSRF预防
、、、、
我是否正确，如果我声称，没有任何可靠的保护，以对抗CSRF的状态环境今天？我有一个RESTful服务(用RESTEasy构建)，需要保护它免受CSRF攻击。我在谷歌上搜索了无状态的CSRF预防，但我发现的只是关于双重提交的这文章。根据对本文的评论，这种方法不是一个安全的对策。
那么，对这次攻击还有什么其他可靠的对策吗？
浏览 0提问于2013-09-09得票数 8
回答已采纳
1回答
我确实有一个用于数据库CRUD操作的graphqlAPI。身份验证是基于令牌的。因此，如果用户想要对我的数据库进行cruds (突变)，它需要一个有效的令牌才能做到这一点。
我不知道的是，我的graphql是否也被保护以防止CSRF攻击，因为我在csrf_exempt中豁免了这种保护。
如果没有csrf_exempt，它需要一个csrf令牌。是否有一种方法可以要求有效的csrf令牌而不将其发送到前端？graphql仅用于后端，用于将数据插入数据库，而在数据库中，我无法通过前端获得csrf令牌。
后端/前端: Django数据库: Mongo
谢谢
浏览 2提问于2022-11-16得票数 0
我正在使用服务器：Django，Gunicorn，ngnix，postgresql
Client: Chrome Advanced Rest Client
views.py
from django.views.decorators.csrf import csrf_exempt, **ensure_csrf_cookie** # Newly added
from django.http import HttpResponse
**@ensure_csrf_cookie** # newly added
def hello(request):
return
浏览 2提问于2015-05-10得票数 4
回答已采纳
我有一个Lagom应用程序，在这个应用程序中，我通过在项目中添加play过滤器依赖来启用play安全头。现在，当我到达服务端点时，它会给出错误: p.filters.CSRF - CSRF检查失败，因为在标头中找不到令牌。
在play文档中，当以下所有内容都为真时，Play将需要CSRF检查：
请求方法不是GET、HEAD或选项。请求有一个或多个Cookie或授权头。CORS筛选器未配置为信任请求的来源。
对我来说这三件事都是真的。禁用csrf检查对我来说不是一个选项。
我只想知道如何才能获得要在标头中发送的令牌。是否需要在配置文件中添加任何内容？
任何帮助都将不胜感激。
浏览 1提问于2019-02-14得票数 0
回答已采纳
1回答
在GET请求时启用CSRF保护
、、、、
我想知道在应用程序的所有GET请求上有什么适当的方法来启用CSRF保护吗？目前，我已经在所有POST请求上使用javax.servlet.Filter实现了它，然后在JSP的POST方法隐藏字段中启用了它，比如这个<input type="hidden" name="csrf-token" value="${my_csrf_token}" />。
对GET请求也做了同样的操作，将令牌附加到如下参数
$.ajax({
url: "${pageContext.request.contextPath}
浏览 4提问于2022-09-29得票数 0
我读过，MVC防伪造令牌通过将安全令牌存储在表单字段中，然后将浏览器自动发送的默认标头/cookie值与MVC在每个请求中设置的字段值进行比较，从而击败CSRF攻击。由于恶意网站将不知道为存储令牌的字段提供什么值，因此CSRF攻击失败。
那么，在头中存储令牌有什么意义呢？您就不能手动将令牌存储在Javascript的每个请求上的表单字段中，然后跳过比较吗？
这个问题也适用于我，因为我正在为运行在SignalR、ajax请求和ASP.NET表单上的不同应用程序在auth方案上创建一个标记。我的目标是避免CSRF攻击，方法是为每种类型的请求在自定义字段中发送auth令牌:用于ASP.NET窗体的隐
浏览 0提问于2017-05-11得票数 2
回答已采纳
1回答
我注意到，当使用django时，当你发出post请求时，例如使用一个表单，django会要求你添加csrf令牌，但是当我使用react从django rest框架创建的api中获取数据时，我意识到当我没有发送csrf令牌时，应用程序没有任何错误。
在这个应用中，我正在使用knox的令牌认证，我已经看到了一些关于如何使用csrf令牌进行会话认证的帖子。
我的问题是令牌身份验证是否不需要csrf令牌，或者它们是由react自动传递的吗？提前谢谢。
浏览 4提问于2021-02-18得票数 0
1回答
我正在加载测试一个CSRF保护的网站，并成功提取csrf令牌并授权登录，但是当加载包含许多不同图形的页面时，所有的图形似乎都失败了。从JMeter返回的事务对主体数据有一个较大的JSON响应，头中有一个。
当手动浏览网页时，一切都很好，只有在JMeter上才会失败。
我在登录页面提取CSRF证书，并将其发送到有效的登录事务参数。
📷
📷
📷
这里有一个失败的事务(所有其他事务都是相同的)--它是一个大型JSON POST请求
📷
📷
这是失败事务的响应。如您所见，X令牌与我在标头中传递的令牌完全不同，并表示因为CSRF而被禁止使用。我还再次尝试查看是否能够找到一个与响应头中的令牌类似的CSRF
浏览 0提问于2020-11-04得票数 1
我有AJAX代码，它向Django 1.6.4应用程序发出POST请求。视图通过django.middleware.csrf.CsrfViewMiddleware启用了CSRF保护。如果我没有传递cookie，但确实传递了HTTP_X_CSRFTOKEN，则它将失败。
我正在查看django.middleware.csrf.CsrfViewMiddleware的代码，我看到在第161行中，它检查从cookie中获得它后是否有if csrf_token is None:。如果是零，它就会回来。直到之后，它才会检查csrfmiddlewaretoken参数和HTTP_X_CSRFTOKEN请求头。
浏览 7提问于2014-07-16得票数 3
我正在用sails做一个应用程序。网络和移动。
我想使用CSRF保护，风帆提供时，应用程序访问网上。如果一个请求是通过移动应用程序发送的。与有效载荷一起发送一个jwt。
在sails的文档中，我找到了一个属性csrf.routesDisabled，它在某些路线上禁用了CSRF。但这不是我想要的。例如，我试图找到一种方法，检查参数jwt是否在post请求中发送。如果参数是发送的，那么检查并验证它。否则，检查表单的_csrf值。这个是可能的吗？
或者csrf保护在将任何信息发送到服务器之前工作？
我最好的选择是在网络应用中也使用jwt？
任何其他解决这个问题的好主意都是受欢迎的。
谢谢
浏览 3提问于2016-10-18得票数 0
2回答
我在一个使用Angular的网站上使用基于会话的CSRF。发出HTTP调用以请求CSRF令牌是否安全？
例如，如果我向一个名为/ CSRF /get的页面发送了一个具有有效用户会话的请求，并且它打印了一个原始令牌，那么这对于CSRF功能是否足够安全？如果没有，我可以做些什么来使它更安全，同时保持JSON检索功能？
它将是第一个api调用，在其他调用之前，我将把它保存在本地存储上，以便在每次http调用时使用它。
浏览 4提问于2018-09-11得票数 8
据我所知，在防范CSRF攻击方面有两种方法: 1)每个会话令牌，2)每个请求的令牌
1)在第一种情况下，在初始化用户会话时只生成一次CSRF令牌。因此，用户一次只有一个有效的令牌。
2)在第二种情况下，对每个请求生成新的CSRF令牌，然后旧的CSRF令牌变得无效。这使得利用可维护性变得更加困难，因为即使攻击者窃取了令牌(通过XSS)，当用户进入下一个页面时，令牌也会过期。但另一方面，这种方法降低了webapp的可用性。这是的好报价
例如，如果他们按下'back‘按钮并提交带有新值的表单，提交将失败，并且可能会向他们发出一些恶意错误消息。如果他们试图在第二个选项卡中打开一个资源，他们会
浏览 0提问于2014-02-08得票数 8
回答已采纳
1回答
我试图找出我建议的解决方案是否对XSS和CSRF保护都有效，
我希望将JWT存储在httpOnly & secure cookie中，而不是在本地存储中，当用户成功登录时，他将在响应有效负载中获得一个CSRF令牌(随机字符串)，与声明到JWT有效负载的令牌相同，用户端令牌将存储在localStorage中。
当用户调用经过身份验证的rest端点时，他将CSRF令牌附加为报头(“csrf- token”："randomToken“报头)，因为我们处于无状态状态，所有请求都将首先验证JWT签名，在验证之后，代码将检查JWT有效负载中的令牌是否等于请求头中的令牌。
由于我没有找到任何
浏览 0提问于2021-12-24得票数 1
回答已采纳
2回答
PWA的API认证
、、、、
设置
我们正在构建一个PWA (进步网络应用)。主要组件是app (SPA)和API。REST将提供应用程序所需的数据，而SPA将处理其余部分()。
问题
最终用户的身份验证似乎是有问题的，因为需要考虑到web浏览器。我们希望用户登录通过关闭浏览器来持久化。我们已经对可能的方法进行了研究，但是我们希望确保我们不会走错方向。
我们已经考虑过的解决方案
基于会话的身份验证--用户将用户名和密码发送到/accounts/auth，并且只接收带有会话ID的HTTP。会话需要存储在数据库或中。这个选项的问题是cookies是由浏览器自动发送的，因此我们需要一个CSRF保护。使用同步器令牌模式，每次发出状
浏览 1提问于2020-01-31得票数 21
1回答
我有一个Rails API，它是通过一个仅使用http的cookie进行身份验证的，因此我需要CSRF保护。据我所知，Rails社区似乎更喜欢将jwt auth令牌存储在本地存储中，而不是在cookie中。这避免了对csrf的需求，但将您暴露给XSS，这就是我们选择使用cookies + CSRF的原因。
由于社区对本地存储的偏好，似乎默认禁用了CSRF保护。我正在努力使它取得有限的成功。以下是我试图处理它的方法：
module V1
class ApplicationController < ::ApplicationController
include Concerns:
浏览 0提问于2017-04-10得票数 4
回答已采纳
我正面临基于owasp表单的身份验证的路障。我按照指导设置了zap属性。当我运行活动扫描时，“当尝试登录时，会出现禁止的错误。CSRF令牌不可用。”
Owasp在python项目上使用“基于表单的身份验证”在活动扫描期间不执行身份验证。
[
我的目标网址是：
http://example.com:84/admin/login/?next=/admin/
员额数据；
csrfmiddlewaretoken=IjYwHHavnCYgcWYMy2oL3L9Z0ldUH95s&username={%username%}&password={%password%}&next=%
浏览 0提问于2016-09-02得票数 0
回答已采纳
最近，我正在学习一些Web安全的基础知识，有些东西我无法理解。如何在SPA通信中使用反CSRF令牌？
据我所知，SPA通信中使用了反CSRF，具体如下；
浏览器向API发送登录请求。
API服务器生成一个令牌并将其发送回浏览器。
浏览器存储它，当浏览器发出下一个请求时，与be一起发送令牌。
API可以确保请求来自真正的前端，因为它包含令牌。
我脑海中突然浮现出一个问题--它怎么能阻止CSRF呢？如果令牌存储在cookie中，它将在请求发生时自动发送到API，就像通常的会话cookie一样。即使它存储在其他存储中(比如会话存储或本地存储)，也可以使用JavaScript访
浏览 5提问于2022-09-29得票数 2
回答已采纳
我有一个django服务器来上传文件，当我使用浏览器时，我可以毫无问题地上传文件。
但是如果我使用python请求命令，它就会告诉我CSRF验证失败了。请求中止。python请求代码如下所示：
# upload via HTTP
file = {"docfile": open(fullfilename, "rb")}
s = requests.Session()
r = s.get(dhost)
r = s.post(dhost, files=file)
如果我执行我的代码，我将得到代码403，而错误的CSRF验证失败。请
浏览 3提问于2013-11-27得票数 8
我想使用Axios发布到我的Spring Boot服务器。如果我使用csrf禁用.csrf().disable()，它将正确工作，但当启用时会失败。
我尝试将X-CSRF-TOKEN添加到头中，或者在正文中添加_csrf，但是它说它是无效的。检查请求，csrf将按预期的方式传入。
CSRF控制器
@RequestMapping("/csrf")
public String csrf(final CsrfToken token) {
return token.getToken();
}
Spring安全
httpSecurity
.antMatcher(&
浏览 16提问于2022-01-31得票数 1
1回答
我正在创建一个带有Node.js后端的React网站。我一直试图找出一个用户身份验证实现来防止CSRF攻击，但是我真的很困惑在哪里存储反CSRF令牌。
我的安全实现思想过程如下..。
用户提交使用凭据登录的请求。
凭据是经过认证的。
服务器创建会话。
服务器创建用作反CSRF令牌的JWT。
服务器将JWT (反CSRF令牌)存储在会话存储中。
服务器向客户端发送响应。
响应具有在客户端将会话ID存储在HttpOnly cookie中的头。
响应有效载荷包括JWT (反CSRF令牌)。
客户端收到响应。
HttpOnly cookie保持
浏览 0提问于2018-10-12得票数 1
1回答
CSRF令牌没有从角发送到弹簧
、、、、
我们正在构建一个使用的web应用程序。作为我们的安全措施之一，我们使用CSRF令牌。问题是，在本地机器上，令牌验证工作，但是在我们的暂存服务器上，令牌不是由前端发送的。问题突然发生了；在使用令牌的最初几个月中，我们没有遇到这个问题。经过一定的建造，他们开始失败了。过了一会儿，他们又开始工作了，但现在又停止了工作。
因此，似乎存在一个我们看不到的环境问题。
我们能看到的
Spring正在创建CSRF令牌，并将其发送到飞行前(选项)请求中。它将令牌封装在Set-Cookie头中，该标头使用CookieXSRFStrategy进行角度读取。同样，在本地这很好，但是在我们的暂存服务器上这是失败的。问题
浏览 0提问于2017-11-27得票数 0
表达式和角都有自己的csrf中间件。我根本无法让他们工作，而且在互联网上似乎没有任何关于这方面的连贯指南。我的理解是，Exchange4.0使用c冲浪作为csrf中间件，我必须在angularjs上设置X-XSRF-TOKEN。
关于如何做到这一点，有一些零散的部分，有时与之相冲突的信息：
但我已经试过了，但它们不起作用。我的_csrf总是角客户端的undefined，尽管客户端没有给出csrf令牌，但csrf总是给出success。
此外，我使用express-jwt来保持用户会话，因此我不确定这是否会干扰cookie-session (curf所要求的)。
以下是我使用csrf处理寄
浏览 2提问于2015-02-11得票数 3
1回答
我正尝试在单个页面应用程序react前端上实现cookies for auth中的jwt，该前端与运行express的各种节点微服务通信。
我这样做是因为在会话存储中存储jwt会使应用程序容易受到XSS的攻击。
但是，通过使用cookie，apis现在容易受到csrf攻击。
传统上，csrf攻击可以通过创建csrf令牌，将其存储在服务器会话中，然后将其呈现在隐藏的表单字段中来减轻。然后，在提交表单时，将对照服务器会话值检查csrf令牌的值，以检查它们是否匹配。
我不能使用这种方法，因为：-服务器是无状态的-没有服务器端呈现。
因此，我对我应该采用哪种csrf方法感到困惑。我读过有关double
浏览 0提问于2018-09-17得票数 4
我有一个后端API，它在django中，部署在上。我有一个post请求将数据插入到我的DB中。
我创建了一个脚本来使用这个端点，但是我得到了以下错误：
{“详细信息”：“CSRF失败:引用检查失败-没有引用。”}
关于多个帖子，我在类中添加了crsf_exempt装饰器，但没有改变。
我试着用两种方式添加装潢师：
class AddUser(APIView):
""" Create user and company from csv """
@method_decorator(csrf_exempt)
def pos
浏览 3提问于2021-02-16得票数 5
回答已采纳
我的route/web.php如下所示： Route::prefix('espace')->middleware(['auth'])->group(function () {
Route::get('conversation/{id}', [MessageController::class, 'get_message'])->name('conversation.message');
Route::post('searchUser', [UserControlle
浏览 34提问于2021-11-23得票数 0
只是升级到2.2.1，我对CSRF处理发生了什么感到有点困惑。使用默认配置，我总是会得到“缺少CSRF令牌”错误，尽管会话数据中显然有一个csrfToken。
我发现，通过在设置中将csrf.sign.tokens设置为false (默认值为true)，我可以避免这种情况。由于某种原因，台词：
token.flatMap(Crypto.extractSignedToken)
.map(token => Token(Crypto.signToken(token)))
在中给了我一个无标记。是否有人知道什么会使CSRF在启用令牌签名时才会失败。我没有(故意)更改任何与CSRF相关的配
浏览 1提问于2013-11-09得票数 3
4回答
为什么需要使用标记将CSRF令牌名称和值放在中，比如：
，例如：
<meta content="authenticity_token" name="csrf-param" />
<meta content="4sWPhTlJAmt1IcyNq1FCyivsAVhHqjiDCKRXOgOQock=" name="csrf-token" />
我读过关于将CSRF值保存在cookie中的概念，但没有发现为什么要保留在标记中。
浏览 1提问于2014-01-31得票数 35
回答已采纳
1回答
我有两个独立的项目：Server(Symfony2).和UI(AngularJS)
我需要发送跨域将请求从AngularJS应用程序发送到Symfony2应用程序。
在Symfony控制器中，我将$request传递给了form->handleRequest();并向我展示了，使用这种方式的表单是不提交的。
因此，接下来我尝试将$request传递给form->submit()，并得到错误“无效的CSRF令牌”。
如何通过Symfony表单正确处理跨域数据？我已经读过将$request传递给submit()方法是不正确的。
如果我通过头从UI发送CSRF令牌到表单，我如何将
浏览 3提问于2015-12-08得票数 1
回答已采纳
1回答
我有一个web应用程序，当用户请求一个页面时，会生成一个CSRF令牌并将其注入到隐藏的input字段中的jsp页面中。
然后，对于自定义标头中的每个AJAX调用，都会向服务器发送相同的令牌，而会话状态令牌则包含在cookie (secure + httpOnly)中。
现在，由于CSRF令牌在webapp中是新的东西，如果在更新之后用户已经登录，并且他发送了一个请求，那么Filter将确定他实际上已经登录了(因为cookie中的会话状态令牌)，但是一个有效的CSRF令牌并不包含在自定义的标头中，所以定义的行为就是注销他。
我可以通过遵循这个OWASP示例来处理这个问题。如果没有CSRF令牌，我
浏览 0提问于2018-01-24得票数 1
回答已采纳
3回答
我在使用csrf令牌测试视图时遇到了问题。
这段代码
class ViewTests(TestCase):
def test_bets_view(self):
login_page = self.client.get('/users/login/')
print(login_page.content)
返回带有CSRF隐藏输入的HTML。
这个东西，我需要和以前的HTML进行比较
expected_html = render_to_response('login.html',
浏览 3提问于2015-03-11得票数 1
回答已采纳
我有一个弹簧引导2.5.1应用程序具有弹簧安全性和胸腺。
为了传递csrf令牌，我遵循了spring文档链接。
如上述链接所述，index.html包含标头
<meta name="_csrf" th:content="${_csrf.token}"/>
<meta name="_csrf_header" th:content="${_csrf.headerName}"/>
下面是包含所有ajax请求的令牌的配置。
$(function () {
var token = $("meta[na
浏览 13提问于2021-06-18得票数 0
我正在使用Ionic 2开发一个应用程序来登录到Laravel5.3服务器。当我从邮递员那里得到 CSRF令牌时，我看到CSRF令牌将永远不会改变，甚至不会改变我GET的次数(除非会话结束)。这样我就可以从邮递员登录，当用用户名和密码发布令牌时。但在我的Ionic 2应用程序中，每次我获得 CSRF令牌时，CSRF令牌都会更改为另一个。因此，CSRF验证总是返回错误。
我的GET从Laravel服务器返回CSRF令牌：
Route::get('api/csrf', function() {
return Session::token();
});
我的GET方法来自I
浏览 3提问于2017-07-09得票数 0
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM活动推荐
腾讯云开发者
