csrf 跨站請求偽造

csrf( cross-site request forgery) 屬於一種跨站攻擊, 在 tornado 中被稱為 xsrf
不一定是站內輸入, 被偽造的請求可以使任何來源, 並非一定是站內輸入

產生背景

前後端完全分離;
跨域資源共享;

核心

偽造伺服器, 攻擊正常訪問網站的使用者

解決策略

過濾請求的處理者
1. client 端提交表格是增加隨機數 hash 值(用隱藏標籤的方式提交), 在 server 端進行驗證是否一致, 只有真正的 server 端擁有正確的 hash 值
2. 使用”認證令牌”, 身份認證從 cookies 變為 token
3. 增加驗證碼
4. 增加 http 中的 referer 標識, 來判斷是同域還是跨域, 跨域是否是允許的

cors 跨域資源共享

cors (cross-origin resource sharing) 是 W3C 提出的一個標準, 如今是較為主流的解決跨域資源請求方案. [ IE8+都可以相容 ]

產生背景

為了防止 csrf

»»»瀏覽器引入同源(同domain/ip, 同埠, 同協議)策略(sop)保證訪問安全, 愛能互相獲取資源

»»»前後端不能分離,不能操作 cookies, 不能傳送 ajax等問題

提出伺服器跨域 (使用反向代理 或 cors)

核心思想

通過一系列新增的 http 頭資訊來實現 server 和 client 之間的通訊, 所以, 要支援 cors, server 端要做一些相應的配置

此時, 瀏覽器會將 cors 請求分為兩類:
- 簡單請求: HEAD GET POST
- 非簡單請求: PUT DELETE OPTIONS
非簡單請求會觸發 cors preflight (預檢請求)

觸發預檢請求也有其他情況:
- 傳輸的資料格式不是 application/x-www-form-urlencoded
- 操作 cookies

# 後端header配置(舉例: tornado中)
    def set_default_headers
 
(self):
        self.set_header("Access-Control-Allow-Origin", self.request.headers.get("Origin", "*"))  # 限定請求源
        self.set_header("Access-Control-Allow-Headers", "x-requested-with,authorization")  # 請求頭
        self.set_header("Access-Control-Allow-Methods", "POST,GET")  # 限定合法的請求方式
        self.set_header("Access-Control-Allow-Credentials", "true")  # 證書
        self.set_header("Content-type", "application/json")  # 限定請求資料格式