沒有CSRF令牌的身份驗證

Question

我有一個簡單的Web應用程序，可以對用戶進行身份驗證。 它在https下工作，因為很簡單，它需要兩個字段username ， password + csrf token 。

現在，我實現了一個簡單的API，該API可以驗證具有給定用戶名和密碼的用戶是否存在。 在同一域上也使用https使用jquery.post()方法調用它，但是我僅提供username和password 。

假設我的API在“已注冊”時僅具有一個功能，是否需要擔心什么？ 當然是蠻力的。

Answer 1

假設我的API在“已注冊”時僅具有一個功能，是否需要擔心什么？

“問題”對於我來說太寬泛，無法勝任回答，但您不必擔心CSRF，只要您保留請求及其結果和所描述的原因即可。 讓我來告訴你為什么。

CSRF攻擊是指攻擊者以用戶的名義（帶有用戶的有效會話和/或用戶的其他私人信息）以誘騙者或誘使用戶執行攻擊者想要的操作（發送請求），攻擊者使用攻擊者想要的參數和數據。用戶）。

如果網站認為用戶發出了請求，盡管它只是被迫這樣做，但它可能永遠不會對任何人造成任何傷害，因此您不需要CSRF令牌。 似乎您的情況如此，因為如果強制用戶詢問是否存在由攻擊者提供的名稱和密碼的帳戶，這並沒有害處。

您只需要注意不要根據發送該請求的用戶更改此類請求的原因及其結果。