登录后是否需要csrf令牌？

Question

我正在构建一个简单的待办事项列表，用户可以在其中登录（使用csrf-token），然后将项目添加到待办事项列表中。 用户已经登录后，是否需要在使用AJAX（待办事项列表项）的提交中添加csrf_tokens？ 我正在使用基于会话的身份验证。

Answer 1

好吧，我想是的，您必须这样做，请看以下摘自owasp （开放式Web应用程序安全性项目）文档的摘录：

以普通用户为目标时，成功的CSRF攻击可能会破坏最终用户数据及其相关功能。 如果目标最终用户是管理员帐户，则CSRF攻击可能会破坏整个Web应用程序。 更有可能受到攻击的站点是社区网站（社交网络，电子邮件）或具有与其关联的高美元值帐户的站点（银行，股票经纪，账单支付服务）。 即使用户 使用强加密（HTTPS） 登录 到网站， 也会发生此攻击 。 利用社会工程学，攻击者会将恶意HTML或JavaScript代码嵌入到电子邮件或网站中，以请求特定的“任务网址”。 然后，可以在有或没有用户知道的情况下直接或通过利用跨站点脚本缺陷（例如：Samy MySpace Worm）执行任务。