没有CSRF令牌的身份验证

Question

我有一个简单的Web应用程序，可以对用户进行身份验证。 它在https下工作，因为很简单，它需要两个字段username ， password + csrf token 。

现在，我实现了一个简单的API，该API可以验证具有给定用户名和密码的用户是否存在。 在同一域上也使用https使用jquery.post()方法调用它，但是我仅提供username和password 。

假设我的API在“已注册”时仅具有一个功能，是否需要担心什么？ 当然是蛮力的。

Answer 1

假设我的API在“已注册”时仅具有一个功能，是否需要担心什么？

“问题”对于我来说太宽泛，无法胜任回答，但您不必担心CSRF，只要您保留请求及其结果和所描述的原因即可。 让我来告诉你为什么。

CSRF攻击是指攻击者以用户的名义（带有用户的有效会话和/或用户的其他私人信息）以诱骗者或诱使用户执行攻击者想要的操作（发送请求），攻击者使用攻击者想要的参数和数据。用户）。

如果网站认为用户发出了请求，尽管它只是被迫这样做，但它可能永远不会对任何人造成任何伤害，因此您不需要CSRF令牌。 似乎您的情况如此，因为如果强制用户询问是否存在由攻击者提供的名称和密码的帐户，这并没有害处。

您只需要注意不要根据发送该请求的用户更改此类请求的原因及其结果。