在AJAX請求的$ http上設置反CSRF令牌是否安全？

Question

在Angular應用程序中為Ajax調用創建和處理反CSRF令牌似乎很簡單，有些人通過將單個令牌應用於每個Ajax調用來解決此問題。 例如這里 。

解決方案非常簡潔。 我們只是在服務器上生成令牌，然后將其與登錄后的第一個加載頁面一起發送。 然后，我們確保它可以與所有將來的所有請求一起使用，例如：

$http.defaults.headers.common['RequestVerificationToken'] = 'token should go here';

但是我擔心這可能會簡化攻擊者的工作。 他們只需要持有$ http即可發出任何有效請求。 是這樣嗎 這種方法安全嗎？ 關於Ajax請求和CSRF是否有“最佳實踐”？

Answer 1

Angular會自動為您執行此操作。

閱讀跨站點請求偽造（XSRF）保護部分。 DOCS

我還建議您閱讀CSRF，這是什么，如果網頁中已經存在惡意腳本，則無需進行跨站點請求就可以構成受害者。