如何保护单页WebAPI免受CSRF攻击？

Question

我有一个使用angularjs构建的单页应用程序，该应用程序使用$ http服务发出GET和POST请求。 该网站不对用户进行身份验证，并且是匿名的。 有没有办法防止匿名网站的CSRF攻击？ 我在使用$ http服务的angularjs中找到了许多实现它的帖子。 但是我不知道它是否也适用于匿名应用程序。 任何人都可以请教吗？ 谢谢！

Answer 1

我认为，如果您的应用程序不对用户进行身份验证，则无需担心CSRF攻击。

“跨站点请求伪造（CSRF）是一种攻击，是在恶意网站，电子邮件，博客，即时消息或程序导致用户的Web浏览器在用户所信任的站点上执行有害操作时发生的目前已通过验证。” 这来自https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF)_Prevention_Cheat_Sheet

它说：“ 使用户的Web浏览器在用户当前通过身份验证的受信任站点上执行有害操作 ”。

Answer 2

如果您没有身份验证，则无需担心CSRF。 此外，如果添加作为标头传递的令牌身份验证，则也不必担心。

CSRF的问题是另一个站点自动使用身份验证cookie到您的站点。

也许您担心其他问题，而不是CSRF？ 由于整个网站都是公开的且匿名的，您究竟担心什么？