登錄后是否需要csrf令牌？

Question

我正在構建一個簡單的待辦事項列表，用戶可以在其中登錄（使用csrf-token），然后將項目添加到待辦事項列表中。 用戶已經登錄后，是否需要在使用AJAX（待辦事項列表項）的提交中添加csrf_tokens？ 我正在使用基於會話的身份驗證。

Answer 1

好吧，我想是的，您必須這樣做，請看以下摘自owasp （開放式Web應用程序安全性項目）文檔的摘錄：

以普通用戶為目標時，成功的CSRF攻擊可能會破壞最終用戶數據及其相關功能。 如果目標最終用戶是管理員帳戶，則CSRF攻擊可能會破壞整個Web應用程序。 更有可能受到攻擊的站點是社區網站（社交網絡，電子郵件）或具有與其關聯的高美元值帳戶的站點（銀行，股票經紀，賬單支付服務）。 即使用戶 使用強加密（HTTPS） 登錄 到網站， 也會發生此攻擊 。 利用社會工程學，攻擊者會將惡意HTML或JavaScript代碼嵌入到電子郵件或網站中，以請求特定的“任務網址”。 然后，可以在有或沒有用戶知道的情況下直接或通過利用跨站點腳本缺陷（例如：Samy MySpace Worm）執行任務。