CSRF保護：為每個請求發送CSRF令牌的方法

Question

我的初始代碼為可能會更改數據庫狀態的請求生成令牌，例如CRUD操作。 令牌是為每個請求生成的。 以JSON格式與其他數據一起發送到客戶端，我希望此令牌與請求一起返回，並在請求完成后進行更改。 但是，當我僅將其實現到代碼的一部分（CRUD操作）時，被告知要重做並將其擴展到整個Web應用程序。 我認為最好的方法是使用過濾器。

我的問題是，如何使客戶端為每個請求發送“令牌”？ 是否將其設置在Cookie中？ 我有什么選擇？ 請指教。

Answer 1

最好的方法是，所有鏈接都應該是GET請求，並且在get請求中，不應對應用程序狀態進行任何修改。 因此，對於GET請求，將不需要CSRF令牌。

對於必須在應用程序狀態中進行修改的POST請求，您必須在表單提交期間生成，隱藏表單中的csrf字段並驗證服務器中的令牌。