疑问: 1、如何把 token 下发给前端,让其请求的时候带上来 2、假设单独出一个生产 token 的接口给前端用于获取 token,那么这个接口一旦暴露出来,等于 token 可以被三方来生成 3、如果依靠 refer 来验证下发接口的安全域名,应该也是可以伪造的
1
kkikk 2018-11-21 16:50:37 +08:00
|
2
EvilCult 2018-11-21 17:01:18 +08:00
顺着楼上
你这说说的不像是 CSRF,倒像是在说 JWT... 也可以顺便看看. |
3
tomczhen 2018-11-21 17:02:46 +08:00 via Android
csrf 的前提是基于浏览器,如果基于浏览器那么这三个问题要么不用考虑,要么无解。
想规避业务风险,只能往别的方向。 |
4
jswh 2018-11-21 18:06:32 +08:00
同楼上,这不是 CSRF,是接口鉴权。
2.假设单独出一个生产 token 的接口给前端用于获取 token,那么这个接口一旦暴露出来,等于 token 可以被三方来生成 你这个攻击方都拥有客户端的权限了,你拦不住的。所有基于 HTTP 的接口都可以直接模拟的,只能说增加解析的难度。比如说,对传输的内容加密。然后代码混淆别人找不到你的加密方式,就没法正常的调用 api. |